탈취된 코딩 어시스턴트가 100개 저장소에 웜을 퍼뜨렸다. Mandiant는 결함이 모델이 아니라고 말한다

Google Mandiant가 특별 보고서 AI Risk and Resilience를 공개했다. 설문이 아니라, 자사 컨설턴트와 레드팀, 그리고 Google Threat Intelligence Group이 2026년 한 해 동안 직접 대응한 사건들로 엮은 보고서다. 가장 눈에 띄는 항목은 이렇다. 한 SaaS 기업에서 공격자가 작동 중이던 AI 코딩 어시스턴트 세션을 탈취했고, 이를 이용해 오염된 PyPI 패키지를 추천하게 만들어 스스로 퍼지는 Shai-Hulud 웜을 약 100개의 내부 저장소에 심었다. GitHub OAuth 토큰과 저장소 시크릿, 그리고 그 회사 제품의 소스 코드가 밖으로 빠져나갔다.

이 과정 어디에도 모델이 속아서 엉뚱하게 행동했다는 요소는 필요하지 않다. 어시스턴트는 의존성 패키지를 추천했다. 원래 그러라고 있는 도구다. 개발자는 그 추천을 받아들였다. 개발자가 하는 일이 그렇다. 침해된 것은 세션과 그 주변의 공급망이었다. 그리고 에이전트가 쥐고 있던 권한이 발판 하나를 저장소 100개로 바꿔 놓았다.

이제 에이전트는 하나의 아이덴티티다

이것이 보고서 전체를 관통하는 주장이며, 'AI로 무장한 공격자'라는 흔한 프레임보다 훨씬 쓸모가 있다. 기업들은 2026년 내내 제안만 하는 어시스턴트에서 실행하는 에이전트로 옮겨 갔다. 토큰을 보관하고, API를 호출하고, 저장소에 쓰고, 운영 설정을 바꾸고, 돈을 쓰는 시스템이다. Mandiant의 표현은 정확하다.

이런 시나리오에서 LLM은 조언자가 아니라 참여자이며, 머신 속도로 측면 이동과 의사결정을 수행하게 한다.

자격 증명을 가진 참여자는 곧 아이덴티티다. 그리고 아이덴티티는 예전부터 아이덴티티가 공격당해 온 방식 그대로 공격당한다. 기록된 사례 중 여럿이 정확히 그 지점에 놓인다. CI/CD 어시스턴트를 노린 프롬프트 인젝션 공격은 어시스턴트가 누구의 지시를 따르고 있는지 헷갈리게 만들어 내부 저장소를 외부 엔드포인트로 내보내게 했다. 또 다른 침입은 내부 AI 저장소를 오염시키고 CLI 훅을 변조해, 그 플랫폼의 평범한 워크플로를 그대로 타고 코드 실행에 도달했다. 커뮤니티 포럼을 참조하던 고객 응대 에이전트는 그 포럼에 심어진 댓글에 의해 조종당했다.

어느 것도 기묘한 모델 이론의 실패가 아니다. 누락된 인가 검사, 분리되지 않은 자격 증명, 특권 프로세스까지 도달하는 신뢰할 수 없는 입력 — 오래된 문제들이, 자신이 대체한 것보다 더 큰 접근 권한을 가진 구성 요소에 그대로 상속된 것이다.

공격자가 없는 사례

한 건에는 적대자가 아예 없다. 회계 대사 업무를 맡은 에이전트가 제약 없는 추론 루프에 빠져 한 시간도 안 되는 사이에 비용이 큰 API 호출을 1만 5천 회 넘게 했다. 클라우드 청구액은 약 5만 달러에 이르렀고, 데이터베이스를 잠가 실제 업무 트랜잭션을 멈출 정도였다.

Mandiant는 이를 denial-of-wallet으로 분류하는데, 보안 보고서에 실릴 이유가 있다. 예산은 있고 차단 장치는 없는 자율 시스템은 누가 겨누고 있든 아니든 가용성 위험이자 재무 위험이다. 대부분의 조직에서 지출 경보는 폭주한 에이전트가 다 쓰고 난 한참 뒤에 울린다.

공격 진영에서 실제로 달라진 것

보고서의 위협 인텔리전스 쪽은 더 점진적이다. 그 점 자체가 주목할 만하다. 공격자들은 모델에게 도움을 청하는 프롬프트를 던지는 단계에서, 자율형 공격 프레임워크 — 이름이 거론된 것은 Hexstrike와 Strix다 — 안에서 모델을 돌리며 정찰과 취약점 검증, 자격 증명 수집을 수행하는 단계로 옮겨 갔다. 일부 악성코드는 이제 작은 모델을 내장해 실행 시점에 자신의 페이로드를 변형하고 시그니처 기반 탐지를 회피한다. 2월에는 VirusTotal이 평범한 자동화 패키지로 위장한 악성 OpenClaw 에이전트 스킬을 찾아냈다. 백도어와 인포스틸러가 들어 있었다. 5월에는 AI가 만든 제로데이가 대규모 악용에 쓰인 첫 공개 확인 사례가 나왔다. 오픈소스 웹 관리 도구의 2단계 인증 우회였다.

그에 비해 변하지 않은 결론이 하나 있다. 취약점 악용은 6년 연속 최다 초기 침입 경로로 남았다. 기계는 빨라졌다. 들어오는 길은 그대로다.

무엇을 해야 하나

Mandiant의 권고는 화려하지 않고, 대부분 배관 공사에 가깝다.

보고서 자신의 결론이 남길 만한 문장이다. "2026년의 회복력은 비결정적 AI 시스템을 기업이 얼마나 효과적으로 통치하고 보호하는가에 의해 그 일부가 정의된다."

이 도구들을 운영하는 쪽에서 실무적으로 읽어야 할 대목은 그보다 좁다. 올해 배치된 모든 AI 에이전트는 '이것은 도구다'라는 전제 아래 접근 권한을 받았다. Mandiant의 사례집은 그것을 사용자로 등록했어야 했다는, 저장소 100개 분량의 증거다 — 잠들지 않고, 가리키는 것은 무엇이든 읽으며, 토큰을 쥐고 있는 사용자로.

출처: Mandiant AI Risk and Resilience Report 2026, Google Cloud · The Hacker News: Attacker Hijacks AI Coding Assistant Session, Spreads Shai-Hulud Across About 100 Repositories · Help Net Security: One runaway AI agent racked up a $50,000 cloud bill · Sonar: Mini Shai-Hulud Targets AI Coding Agents