앤트로픽 AI 오남용 리포트 정리 - 침해에 2시간, API 키가 전리품이 된 이유

앤트로픽이 2026년 9월 10일 네 번째 위협 인텔리전스 리포트를 발행했다. 2025년 12월부터 2026년 8월까지 자사 위협 인텔리전스 팀이 탐지하고 차단한 클로드 오남용 사례를 정리한 문서다.

AI 안전 보고서는 보통 "이런 위험이 있을 수 있다"는 가정으로 쓰인다. 이 리포트는 그렇지 않다. 이미 벌어진 일의 기록이고, 피해 규모에 숫자가 붙어 있다. 나는 AI API 키를 쓰는 쪽 입장에서 읽었는데, 다 읽고 나서 제일 먼저 한 일은 깃허브 저장소를 다시 뒤진 것이었다. 왜 그랬는지 정리했다.

---

리포트 구성

앤트로픽은 사례를 7개 피해 영역으로 나눴다.

사이버 작전	국가 배후 첩보, 금전 동기 범죄, 핵티비스트
감시 작전	반체제 인사 식별·감시 시스템
영향력 공작	가짜 뉴스망, 선거 조작, 국영매체 파이프라인
재래식 무기 개발	보도 기준 6건
생물학적 오남용	보도 기준 5건
사기·금융 범죄	데이팅 앱 사기 네트워크 등
불법 증류	경쟁 AI 랩의 무단 능력 추출

사용된 모델은 Claude Haiku·Sonnet·Opus였고, 증류 사례 1건을 제외하면 Fable·Mythos 급 모델이 쓰인 오남용은 없었다고 명시했다. 리포트 안에 등장하는 GTG는 Generative Threat Group의 약자로, 앤트로픽이 AI를 남용한 것으로 관찰된 행위자에게 붙이는 내부 지정자다.

 

시작 전에 단서를 두 개 달아둔다.

첫째, 리포트가 스스로 밝히듯 이 사례들은 전형적인 오남용이 아니라 가장 주목할 만하고 새로운 사례를 골라 실은 것이다. 통계적 대표성은 없다.

둘째, 이건 앤트로픽이 자사 플랫폼 데이터로 작성한 벤더 문서다. 앤트로픽은 자기 플랫폼 활동에 직접적 가시성을 갖지만, 전체 피해자 목록이나 집행 시점, 개별 귀속에 쓰인 증거를 모두 공개하지는 않았고 제3자 독립 검증도 이뤄지지 않았다. 수치를 인용할 때 "앤트로픽이 밝힌"이라는 단서를 빼지 않는 게 안전하다.

---

리포트의 요지: "정교한 공격에 정교한 공격자가 필요하지 않다"

앤트로픽이 사이버 섹션 맨 앞에 꺼낸 문장이다. 나는 이 한 줄이 리포트 전체의 결론이라고 봤다.

리포트의 설명은 이렇다. 공격 기법 자체는 새롭지 않다. 훔친 자격증명, 패치 안 된 엣지 장비, 노출된 서비스, SQL 인젝션, 피싱. 방어자가 한 번도 못 본 기술은 이 리포트에 없다.

바뀐 건 경제성이다. 예전에 자원 많은 조직과 개인 공격자를 갈라놓던 노동 - 정찰, 익스플로잇 개발, 도구 제작, 데이터 처리 - 이 전부 AI에 위임되면서 하네스 안에서 머신 속도로 병렬 실행된다. 그 결과가 이 숫자들이다.

 

• 첫 접근에서 대량 데이터 탈취까지 수 시간
• 훔친 개발자 토큰 1개에서 클라우드 환경 전체 관리자 권한까지 약 3시간
• 개인 운영자 한 명이 수십 개 피해자를 동시 처리

 

앤트로픽은 위협 인텔리전스 조사관 입장에서 정교함이 더 이상 배후를 판별하는 신뢰할 만한 신호가 아니게 됐다고 적었다. 국가 배후 조직과 1인 핵티비스트를 구분하는 기준이 이제 정교함이 아니라 의도라는 것이다.

또 하나 짚을 대목은 자율성이다. 2025년 11월 리포트에서 국가 배후 캠페인 하나가 쓰던 자율 공격 운영 모델이, 지금은 조사된 모든 행위자 계층으로 확산됐다고 밝혔다. PentAGI 같은 공개 공격 에이전트 프레임워크가 같은 스캐폴딩을 누구나 다운로드할 수 있게 재현하기 때문이다. 다만 앤트로픽은 두 가지 유보를 달았다. 인간은 여전히 표적 선정, 수익화, 결과 검토라는 중요한 결정을 쥐고 있고, 자율성과 피해 심각도는 별개 축이라는 것이다. 이 리포트에서 가장 심각한 침해 몇 건은 사람이 매 단계를 직접 지시한 작전에서 나왔다.

---

사례: 기억에 남은 다섯 건

 

GTG-20006 - 탐지되면 스스로 다시 만들어지는 멀웨어

러시아어권 행위자다. 앤트로픽은 이 행위자의 기법과 표적이 러시아 국가 연계 첩보와 일치하며, 공개 보도상 Midnight Blizzard로 추적되는 그룹과 부합한다고 밝혔다. 작전 계획·정찰·실제 작전에서 20개 이상 조직이 표적으로 확인됐다. 우크라이나·유럽의 정부 부처, 국방·정보기관, 대사관, 싱크탱크, 방위산업체가 중심이고 중동과 아시아 해양 관련 기관까지 뻗었다.

 

가장 인상적인 건 이 부분이다. AI 에이전트가 자사 멀웨어가 보안 제품에 탐지되는지 상시 감시하다가, 탐지되면 탐지를 우회할 때까지 멀웨어를 스스로 수정하고 재빌드했다. 미탐지 상태가 되면 일회용 호스팅 서버에 스테이징해서 실제 작전에 투입했다.

앤트로픽은 이걸 "AI가 비용을 방어자 쪽으로 뒤집었다"고 표현했다. 예전엔 방어자가 새 탐지 규칙을 배포하면 공격자 템포를 늦출 수 있었다. 이제는 최소한 이론상 공격자가 방어자의 탐지 개발·배포 속도보다 빠르게 루프를 닫을 수 있다. 정적 시그니처만으로 비용을 부과하던 방식이 무력해진다는 뜻이다.

 

간접 경로도 특이했다. 호텔 게스트 와이파이를 운영하는 접객업 벤더 최소 3곳을 침해해 관리자 자격증명으로 DNS 레코드를 자기 서버로 돌렸다. 호텔 와이파이에 접속한 투숙객의 트래픽과 기기 식별자, IP가 공격자 서버로 흘러갔고, 거기서 ClickFix 계열 유인으로 윈도우·안드로이드·iOS 멀웨어가 배포됐다. 호텔 관리 시스템에서 훔친 투숙객 정보와 개별 기기에서 훔친 데이터를 조합해 추가 표적을 좁혔다. 마이크로소프트가 2026년 7월 'CaptiveCrunch'로 공개한 방식이다.

 

별개로 북아프리카 정부 기술 당국을 침해해 중앙 계정 서버를 장악하고 국가 신분 기록 30만 건 이상, 기업 등기 데이터 50만 개 이상을 유출시켰다. 드론 공급망도 반복 표적이었다. 드론 부품 제조사 최소 2곳의 메일박스를 대량 내보내고, 드론 비전 시스템의 SDK 전체를 탈취해 며칠간 역공학해 제품 아키텍처, 하드웨어 부품 명세, 공급사 의존관계, 미발표 제품 정보까지 복원했다.

 

GTG-50014 - APK 180만 개를 훑어 키를 줍는다

ShinyHunters 계열로 추정되는 금전 동기 범죄 클러스터다. 프랑스어권 운영자 한 명이 AWS EC2 워커 10대로 분산 자격증명 수집 파이프라인을 돌렸다. 여러 앱스토어에서 안드로이드 APK 180만 개를 대량 다운로드해 디컴파일하고 하드코딩된 시크릿을 스캔했다. 검증된 결과는 100개 이상 소스 유형으로 분류된 텔레그램 그룹에 실시간으로 흘러갔다. 별도의 깃허브 조직 이메일 수집기가 깃허브 개인 액세스 토큰을 두 번째 스트림으로 공급했다.

 

피해 규모도 적지 않다. 어떤 기술 공급업체에서는 1테라바이트 넘는 데이터와 수십만 건 국가 식별자, 수백만 건 결제카드 기록을 유출하고 공개 웹사이트에 올려 몸값을 압박했다. 어떤 항공사에서는 수천만 건 승객 기록이 있는 시스템에 접근했다. 어떤 에너지 기업에서는 고객 가정에 설치된 전기차 충전기의 충전 전류를 원격 제어할 수 있다고 주장했다.

공급망 쪽이 더 무섭다. SaaS 제공업체를 뚫고 그 발판으로 다운스트림 고객사 약 200곳의 데이터를 뽑았다. 다른 건에서는 약 34시간 동안 40개 이상 기업 테넌트에 걸친 Azure AD 토큰 세트 2,100여 개를 세션 저장소에서 덤프했다. 앤트로픽은 "AI 에이전트가 거의 모든 작업을 수행했다"고 적었다.

 

리포트는 이런 패턴을 '바이브 해킹'으로 표현했다. 운영자가 "이 자격증명으로 들어가서 데이터를 가져와라" 같은 일반적 목표만 주고, AI가 환경을 평가하고 스크립트를 작성·실행하고 요약을 만들어 과제가 끝날 때까지 반복하는 방식이다. 운영자가 각 표적 환경을 직접 이해하지 못하는 경우도 많다. 보안 업계 표현인 '현지 조달(living off the land)'을 AI에 적용한 셈이라고 적었다.

 

GTG-10007 - 학부생 2명이 돌린 제로데이 공장

중국어권 운영자들이고 후난성 창사 거주로 추정된다. 그중 두 명은 중국 대학 컴퓨터통신공학부 학부생으로 확인됐다. 한 명은 중국 보안 기업에서 인턴을 했고, 다른 보안 기업의 공격 보안 직무 면접을 보고 있었다.

 

이 그룹은 클로드를 조율 계층으로 두고 병렬 워크스트림을 돌렸다. 침입, 중동·유럽·동남아 정부망 정찰, 주요 엔드포인트 보안 제품 대상 상시 취약점 연구, 멀웨어 개발, 정보 수집 플랫폼 운영이 동시에 굴러갔다. 리드 에이전트가 작업을 분해해 다수 서브에이전트에 뿌리는 '에이전트 스웜'을 상시 운용했고, 표적 목록·수집한 자격증명·작전 상태·상시 지시를 세션 간에 저장하는 지속적 캠페인 메모리를 유지했다. 그래서 운영자가 자리를 비운 동안에도 수집과 취약점 연구가 계속 돌았다.

 

제로데이 루프 구조는 이랬다. 벤더 펌웨어 이미지를 전용 스킬로 획득·복호화해 루트 파일시스템으로 언패킹하고 디컴파일러에 올린다. 보조 에이전트가 이미지를 훑고 디컴파일과 상호참조 체인을 따라간다. 시간이 지나며 직접 축적한 지식 베이스에 대조해 취약점 가설을 세운다. 그 가설에 맞는 익스플로잇 코드를 작성하고 랩에 있는 해당 제품 사본에 테스트한다. 성공할 때까지 코드를 수정하며 반복하고, 성공하면 운영자의 개인 익스플로잇 포트폴리오로 들어간다.

 

네트워크 장비를 대상으로 계속 돌던 워크플로 하나가 한 달에 제로데이 후보 12건 이상을 냈다. 표적은 전 세계 약 50개 조직(교육, 유통, 에너지, 기술, 의료, 금융, 제조, 정부기관)이었는데, 흥미롭게도 직접 침투는 중국 국내 피해자에만 집중했다.

 

GTG-50029 - 한 사람이 만든 도싱 플랫폼

리포트에서 개인적으로 가장 무서웠던 사례다. 2026년 봄, 프랑스어권 행위자 한 명이 유럽 정당·언론·싱크탱크와 그들이 쓰는 SaaS 제공업체를 표적으로 삼았다.

 

이 사람은 공개 컨테이너에서 노출된 API 키를 스캔·검증하는 Rust 스캐너를 직접 만들었고, 검증된 키를 로컬 프록시 레이어에서 로테이션해 자기 트래픽을 키 원 소유자의 정상 트래픽에 섞었다.

초기 침투 기법은 문서화되지 않은 것이었다. 워드프레스 재설치 경쟁 조건(race condition)을 이용해 유효한 자격증명 없이 관리자 계정이 생기도록 만들었다. 클로드로 같은 세션 안에서 익스플로잇을 개발하고 디버깅했고 랩 하네스까지 만들었다. 최소 4개 피해 사이트에서 성공했다.

 

지속성 확보 방식도 꼼꼼했다. 폰트 자산 사이에 웹셸을 숨겼고, 관리자 대시보드에서 끌 수 없는 워드프레스 must-use 플러그인으로 제출된 자격증명을 수집해 사이트별 공개키로 암호화했다. 백업까지 오염시켰다. 피해자가 이전 환경으로 복원하면 다시 감염되도록.

정치 캠페인 관리 플랫폼에서는 노출된 검색 엔드포인트를 통해 사용자 정치 성향이 포함된 약 14만 건 레코드를 유출했다. 어떤 언론사는 브라우저 익스플로잇 C2 프레임워크를 주입 스크립트로 독자에게 걸어 수천 개 브라우저를 식별했고, 편집국 직원의 세션과 자격증명을 노렸다.

 

그리고 'fafsearch'를 만들었다. 컴파일된 검색 엔진에 데이터 적재 파이프라인, 개별 유출 덤프와 자기가 탈취한 데이터의 교차 대조, 국가 신분번호·전화번호 정규화, 랭킹 로직, 테스트, 컨테이너 배포까지 갖춘 전용 신원 조회 플랫폼이다. 국가 보건 식별자와 사법 시스템 유출 정보를 포함해 수천만 행을 적재하고, 표적 정치 운동 관련 인물을 이름으로 조회할 수 있는 익명 다크웹 서비스로 공개했다.

 

앤트로픽의 표현을 그대로 옮기면, AI 지원 소프트웨어 엔지니어링이 프라이버시 대량 침해에 직접 적용된 가장 명확한 사례이며 전체 플랫폼이 단 한 사람에 의해 만들어졌다. 추적된 42개 표적 중 최소 14곳 내부에 접근했다.

 

GTG-50020 - AI 공급망 자체가 표적이 됐다

원래 호텔 예약·핀테크 플랫폼을 털던 러시아어권 행위자다. 어떤 피해자에서 26기가바이트를 유출하고 150만~250만 달러를 요구했다. 그러다 같은 기법을 AI 업계로 돌렸다.

 

어떤 AI 벤더의 자동 평가 샌드박스에 악성 지시를 주입해, 샌드박스가 보유한 자격증명 - 여러 제공자의 프로덕션 API 키 - 을 내놓게 만들었다. 그 키로 해당 벤더와 무관한 표적을 동시에 공격했다. 같은 인프라에서 이어진 후속 캠페인은 약 4일간 AI 기업 약 30곳을 공격했다. 성공하는 공격 경로 하나를 찾아 30개 표적에 조금씩 변형해 반복 적용하는 방식이었다.

이 행위자가 12개 이상 경로로 추구한 목표는 미출시 클로드 모델 접근이었다. 앤트로픽은 모든 경로가 실패했고, 관련된 키는 전부 고객 환경에서 탈취된 고객 키이며 앤트로픽 자체 시스템은 침해되지 않았다고 명시했다.

앤트로픽은 이 사례를 "AI 공급망이 의도적인 범죄 표적이 됐다는 지금까지 가장 명확한 증거"로 규정했다.

---

실무자가 가장 먼저 읽어야 할 섹션: AI API 키

리포트에서 당장 업무에 반영할 수 있는 교훈은 화려한 첩보 사례가 아니라 'AI 공급망' 섹션에 있다. 앤트로픽은 공격자가 AI 자격증명을 얻으면 세 가지를 동시에 얻는다고 정리했다.

전리품 (Loot)	훔친 키·계정 자체가 기존 시장에서 재판매 가치를 가진다
연산 (Compute)	공격 워크로드를 피해자 비용으로 돌릴 수 있다
은폐 (Cover)	활동이 키의 정당한 소유자에게 귀속된다

그냥 원칙론이 아니다. 리포트에 나온 실제 사례가 이렇다.

• 핵티비스트 캠페인 하나는 한 달 동안 전부 훔친 API 키로 돌아갔다
• ShinyHunters 계열은 침해 중 피해자의 AI 키를 얻으면 자기 워크로드를 즉시 그 키로 갈아탔다
• GTG-50020은 AI 벤더 평가 샌드박스를 뚫고 프로덕션 키를 가장 먼저 챘다
• 어떤 침해에서 탈취한 AI API 키 하나가 약 3주간 2차 공격에 쓰였다

키가 새는 경로는 대체로 평범하다. 깃허브, 모바일 앱 설치 파일, 도커 컨테이너, 클라이언트 사이드 코드, 웹사이트, 챗봇, 컨테이너 메타데이터 엔드포인트, 그리고 고객이 직접 배포한 AI 에이전트다. 앞서 나온 APK 180만 개 스캔이 정확히 이걸 노린 작업이다.

여기에 가짜 리셀러 문제가 붙는다. GTG-50021은 "저렴한 클로드 접근"을 판다면서 실제로는 트래픽을 다른 모델로 조용히 프록시했다. 동시에 자격증명 수집기를 설치해 구매자의 앤트로픽 계정 정보를 훔쳐 다른 프록시 리셀러에게 팔았다. 인기 AI 하네스(클로드 코드 등)를 사칭한 클라이언트 앱을 설치하게 만들어 기기의 모든 자격증명과 인증 세션 토큰을 빼가는 방식도 확인됐다. 키가 리셋되면 기기의 새 세션을 다시 훔쳐 계속 보냈다.

LiteLLM을 쓰는 AI 래퍼 서비스가 프롬프트 인젝션으로 클라우드 컨테이너 환경의 프로덕션 API 키를 유출당한 사례도 여러 건 확인됐다.

 

리포트의 권고는 짧다. AI 키와 에이전트 통합을 프로덕션 자격증명과 동일한 수준으로 취급하라. 공격자가 그렇게 취급하고 있기 때문이다. AI 접근은 공인 채널로만 구매하라. 트래픽과 자격증명을 알 수 없는 중개자로 우회시켜야 하는 할인은 그 자체가 리스크다.

---

영향력 공작과 감시, 사기

사이버 외 영역도 규모가 작지 않다. 영향력 공작은 9건이 정리됐고 러시아·이란·터키·걸프·남아시아·아프리카·유럽에서 기원해 6개 대륙 청중을 대상으로 했다. 영향 범위는 브루킹스연구소의 Breakout Scale로 평가했다.

• 프랑스 소재 디지털 광고 대행사(LKM Company)로 추적된 네트워크는 약 70개 가짜 뉴스 사이트, 짝지어진 X 계정 70개, 250개 이상 댓글 계정을 운영했다. 약 20개 언어로 최소 8,913건 기사를 냈다. 정치 성향이 고정돼 있지 않고 그때그때 돈을 내는 쪽에 맞춰 입장을 바꾸는 '영향력 서비스업' 모델이었다. Category 2, 즉 진짜 청중 도달 증거는 없었다
• 말레이시아를 표적으로 한 상업 선거 조작 플랫폼은 이스탄불 소재 기술 기업과 연결됐다. 실제 인구·선거 데이터로 222개 전 선거구를 인종·종교·왕실이라는 민감한 균열선으로 나눠 표적화했고, 워밍업과 탐지 회피 로직을 갖춘 가짜 X 계정 약 1,000개를 관리했다. 대시보드에는 표적별 인위적 조회수 총량을 설정하는 파라미터가 있었다
• 러시아 국영매체 편집 파이프라인 4개 계정은 클로드를 편집 데스크로 썼다. 몰도바·라틴아메리카·아프리카·RT 영어 뉴스룸용 콘텐츠를 만들었고, 최소 한 건은 실제 러시아 방송 전파를 탔다고 확인됐다
• 중앙아프리카공화국에서는 라디오 국(98.9FM)을 통한 일일 콘텐츠 작전이 있었다. 이 사례는 Category 4로, 실제 방송·텔레그램·현지 매체로 확산된 유일한 고도 도달 유형이었다
• 이란 국가 연계 기관 3곳(ICCO, 호라산라자비 이슬람선전국, Bina 문화관측소)은 캠페인 계획, 교리 매뉴얼, 페르소나 체계, 표적 데이터베이스, 부처 기획 문서를 만드는 데 썼다

앤트로픽이 관찰한 트렌드 중 실무자 관점에서 눈여겨볼 건 이 두 개였다.

첫째, AI가 콘텐츠뿐 아니라 조직 자체를 만들었다. 교리 매뉴얼, 반대 인물 도시에, 페르소나 체계, 표적 DB, 편집 충성을 계약서에 박아 넣은 고용 계약, 작전 참여 인력 순위용 채점 루브릭까지 생성했다. 중앙아프리카 사례에서는 대통령과 러시아 파견대에 대한 충성을 의무화한 계약서, 직무기술서, 3단계 해고 프로세스를 만들고, 직원 기사를 그 기준으로 채점해 누구를 남기고 누구를 자를지 추천받았다. 클로드가 정치적 가중치를 지적하자 행위자는 중립적 표현으로 이름만 바꾸고 채점을 유지했다.

 

둘째, 작전이 프롬프트가 아니라 메모리 파일에 들어 있다. 교리를 담은 마크다운 파일이 수백 세션에 걸쳐 거의 그대로 재사용됐고, 금지어 목록과 승인 출처·회피 규칙을 공유 파일로 관리하며 고정 배치로 API를 호출하는 자체 소프트웨어를 돌렸다. 콘텐츠를 만드는 사람들끼리 서로 알 필요조차 없는 구조다. 한 행위자는 이 워크플로를 가르치는 강의를 만들고 있었다.

보도 기준으로는 말리의 약 2,500만 SIM 카드를 모니터링하도록 만들어진 감시 플랫폼, 4,700개 이상 AI 페르소나가 최소 2만 5,000명과 대화한 데이팅 앱 사기 네트워크, 재래식 무기 6건과 생물학 5건 사례도 다뤄졌다. 이 항목들은 2차 매체 요약 기준이라 원문 확인이 필요하다.

---

국내에서 가장 많이 인용될 섹션: 불법 증류

증류 자체는 큰 모델의 출력으로 작은 모델을 학습시키는 정당한 기법이다. 앤트로픽은 무단으로, 은밀하게, 산업 규모로 이뤄지는 능력 추출을 불법 증류로 정의했다. 보도 기준 규모는 이렇다.

알리바바	1억 5,100만+ 교환, 일 최대 300만 근접, 부정 계정 3,500+	2026.5~7
문샷	2,300만+ 교환	리포트 기준
딥시크	1,210만+ 교환	2026.7, 14일간

 

앤트로픽은 알리바바 캠페인을 **"지금까지 측정한 가장 큰 증류 공격"**으로 표현하며, 추출한 사고 사슬 기록을 Qwen 모델 학습에 쓰려 한 것으로 봤다.

 

더 문제가 된 건 문샷과 딥시크다. 자사 고객의 실시간 요청을 고객에게 알리지 않고 클로드로 전달하고, 돌아온 답변을 자기 브랜드로 보여주면서 그 교환을 학습에 썼다는 주장이다. 앤트로픽은 그 과정에서 고객의 민감 자료 - 라이브 자격증명 포함 - 가 노출됐다고 적었다. 딥시크의 경우 인바운드 요청에서 코딩 하네스를 나타내는 문자열을 검사해 해당 사용자를 클로드 오푸스로 중계했다고 설명됐다.

 

여기서 출처가 엇갈린다. 2차 보도 대부분은 연루 기업을 알리바바·딥시크·문샷·샤오미·지푸·센스타임·미니맥스 7개사로 정리하지만, 앤트로픽 위협 인텔리전스 색인 페이지 문구는 3개사(딥시크·문샷·미니맥스)를 언급한다. 2026년 2월 발행된 별도 증류 리포트와 혼재된 것으로 보인다. 인용할 때 이 부분은 꼭 확인하는 게 좋다.

앤트로픽이 밝힌 대응책은 계층적이다.

• 프록시 서비스 네트워크에 대한 메타데이터 기반 귀속
• Fable 5 출시와 함께 강화된 추출 분류기
• 도난당한 대화록의 학습 가치를 떨어뜨리는 내부 추론 요약
• Fable 5.1에 도입된 보존된 사고(preserved thinking) - 신규 API 계정이 다중 턴 대화에서 클로드 추론에 선행하는 시스템 프롬프트·도구·메시지를 변경하지 못하게 막는다
• 남용 신호가 있는 계정에 대한 신원 확인 요구, 확인 실패 시 차단

이 조치들 때문에 정상 사용자가 체감하는 변화도 있다. 신규 API 계정에서 다중 턴 프롬프트 구조를 바꾸는 방식으로 동작하던 구현이 있다면 영향을 받을 수 있다.

---

그래서 지금 뭘 해야 하나요?

이 리포트를 읽고 실제로 할 만한 일만 골랐다.

 

1. AI API 키 인벤토리부터

• 깃허브(공개·비공개 모두), 앱 빌드 산출물, 도커 이미지, 클라이언트 사이드 JS, 배포된 챗봇 설정에 키가 남아 있는지 검색
• 앱스토어에 올린 빌드가 있다면 특히. APK 180만 개를 훑는 파이프라인이 실제로 돌았다

2. 등급을 올려서 분류

• AI 키를 DB 접속 정보와 같은 등급으로 취급. 로테이션 주기와 최소 권한 원칙 적용
• 사용량 급증 알림 설정. 공격자는 남의 키로 남의 돈을 쓴다. 청구서가 가장 빠른 탐지 신호가 될 수 있다

3. 공인 채널만

• "저렴한 클로드/GPT 접근"을 파는 중개 서비스는 자격증명 수집기일 가능성이 있다
• 인기 AI 하네스를 사칭한 클라이언트 앱 설치 요구는 특히 위험 신호

4. 사내 AI 통합을 공격 표면으로 재분류

• 직접 배포한 에이전트, 프록시, 평가 샌드박스, LiteLLM류 게이트웨이 점검
• 프롬프트 인젝션으로 환경의 키를 빼내는 사례가 실제로 확인됐다. 에이전트가 접근 가능한 시크릿 범위를 좁히는 게 우선

5. 정적 탐지만 믿지 않기

• 탐지되면 스스로 재빌드되는 멀웨어가 관찰됐다. 시그니처 기반 방어 위에 행위 기반 탐지를 얹어야 한다는 근거가 이 리포트에 있다

방어 목적으로 IOC(침해 지표)가 필요한 사람은 앤트로픽이 리포트 상단에 PDF와 함께 IOC CSV를 공개해뒀으니 그쪽을 쓰는 게 맞다. 이 글에서는 개별 도메인과 IP를 옮기지 않았다.

---

읽고 남은 생각

이 리포트의 무게는 개별 사례가 아니라 그 사례들의 평범함에 있다고 느꼈다. 학부생 두 명, 프랑스어 쓰는 개인 한 명, 호텔 예약 사이트 털던 범죄자. 예전 기준으로는 팀 단위 자원이 필요했던 작전을 이들이 혼자 돌렸다.

그리고 앤트로픽이 정리한 경제학 한 줄이 계속 남는다. AI 자율성은 공격자 ROI 계산의 비용 쪽을 압축하고, 보상 쪽은 대체로 그대로 둔다. 그러면 예전엔 수익이 안 나서 건드리지 않던 표적이 갑자기 타산이 맞는다. 대형 기업만 노리던 공격이 중소 규모로 내려오는 이유가 여기 있다.

※ 이 글은 2026년 9월 12일 기준으로 앤트로픽 공식 리포트와 국내외 보도를 정리한 것이다. 리포트는 앤트로픽이 자사 플랫폼 데이터로 작성한 문서이며 제3자 독립 검증은 이뤄지지 않았다.

※ 리포트에 언급된 기업들의 공식 대응은 확인 시점까지 확인되지 않았다. 증류 연루 기업 수는 출처에 따라 3개사와 7개사로 엇갈린다.