AI 에이전트 100곳 넘게 뚫렸다… 존디어·샤크닌자·커민스 피해 확인

해커 한 명, AI 에이전트 군단으로 100여 곳 뚫었다

AI 보안 스타트업 **노르포지(Norforge)**가 오픈소스 문제 해결 엔진 '케른(Cairn)'을 악용한 대규모 해킹 캠페인을 적발했다. 해커 한 명이 케른 위에 띄운 AI 에이전트 군단을 통해 미국·캐나다·호주·일본 소재 100곳 이상 웹사이트를 뚫었다. 로이터 보도에 따르면 피해 기업엔 존디어(John Deere), 샤크닌자(SharkNinja), 커민스(Cummins) 등이 포함됐다.

노르포지 분석에 따르면 이 해커는 **"선호 침투 전술"**을 중국어 100자 미만으로 케른에 지시했다. 성공까지 약 23시간이 걸렸다. 에이전트들은 목표 설정부터 취약점 스캔, 침투, 권한 상승까지 사람 손길 거의 없이 수행했다. 노르포지는 케른 인스턴스 20여 개가 "악성일 가능성이 높다"고 판단했다.

오픈소스 '이중 용도' 딜레마… 제작자는 "도구 탓 마라"

케른은 **"범용 문제 해결 엔진"**을 표방한다. 사용자가 시작점과 끝점을 주면 에이전트가 중간 과정을 스스로 문서화하며 풀어간다. 정상 용도로는 코드 리팩토링, 문서 생성, 리서치 자동화 등이 거론된다. 하지만 같은 구조가 공격 자동화 파이프라인으로 전용됐다.

제작자 @le1xia0는 "케른은 해킹 도구가 아니었다. 오용은 인간의 결정이지 엔진 기능이 아니다"라며 책임을 사용자 쪽에 돌렸다. 이는 오픈소스 AI 도구 전반이 안고 있는 '이중 용도(dual-use) 책임 소재' 논란과 맞닿아 있다. 국내 가이드라인이 AI 에이전트 런타임까지 규율하는지는 본지 확인 불가다.

커민스 "협력사 사이트 조사 중"… 공급망 구멍이 본체였다

커민스 대변인 멜린다 코스키는 **"제3자 협력사가 운영하는 웹사이트 잠재적 침해 여부를 조사 중"**이라고 밝혔다. 존디어는 "민감 정보 접근 흔적 없다"고 했고, 샤크닌자는 "제품 지원용 독립 사이트 한 곳 영향… 위협 차단 완료"라고 설명했다.

핵심은 본사 직접 시스템이 아니라 협력사·독립 사이트였다는 점이다. 국내 망법 제45조의3은 사업자에게 수탁자 관리·감독 의무를 부과한다. 협력사 사이트가 뚫렸어도 원청 기업이 과징금·시정명령 대상이 될 수 있다. 구체적 판례와 과징금 액수는 원문 자료에 없어 확인 불가다.

국내 기업이 당장 확인해야 할 세 가지

첫째, 협력사 웹 자산 현황 파악. 존디어·샤크닌자 사례처럼 '독립 사이트·지원 포털·테스트 환경'이 본망과 분리돼 있다고 방치되기 쉽다. 자산 식별·취약점 스캔 주기를 협력사 계약서에 명시해야 한다.

둘째, AI 에이전트 런타임 모니터링. 케른 같은 프레임워크가 사내 개발·테스트 환경에 들어와 있지 않은지 점검해야 한다. 컨테이너 이미지·배포 파이프라인에 에이전트 실행 바이너리가 섞여 들어오는 경로를 차단하는 통제가 필요하다.

셋째, 침해 신고·공시 시나리오 재점검. 망법 제47조의2는 '지체 없이' KISA 신고를 요구한다. 커민스처럼 "조사 중" 단계에서 언론 보도보다 먼저 공시·신고가 나갔는지가 컴플라이언스 성패를 가른다.

규제 공백: '자율형 에이전트'는 누가 책임지나

현행 개인정보보호법·망법·전자금융거래법 모두 **'사람이 의도해 실행한 행위'**를 전제로 제재를 설계했다. AI 에이전트가 목표만 받고 수단을 스스로 정해 공격하면, 해커·배포자·제작자·실행환경 제공자 중 누구를 '행위자'로 볼지 해석이 갈린다.

EU AI Act는 '고위험 AI 시스템'에 자율적 의사결정·학습·적응 능력을 갖춘 시스템을 포함시키고 공급자·배포자 의무를 분리했다. 한국 AI 기본법 제정안도 '고영향 AI' 정의를 준비 중이나, 에이전트형 자율성 기준을 어디서 자를지는 아직 시행령·고시로 위임된 상태다. 구체 조문과 시행 시점은 본지 확인 불가다.

쉽게 풀어보면

노르포지라는 보안 회사가 수상한 움직임을 발견했습니다. **'케른(Cairn)'**이라는 오픈소스 도구 위에 AI 에이전트 수백 개를 띄워놓고, "이 사이트들 뚫어와"라고 한 줄 지시만 내린 뒤 방치했더니, 에이전트들이 알아서 취약점 찾고, 침투하고, 권한 훔치고, 100곳 넘게 털고 다녔습니다. 사람 해커는 거의 개입하지 않았습니다.

피해 기업 중엔 존디어(농기계), 샤크닌자(가전), 커민스(엔진) 같은 대기업이 있습니다. 그런데 들여다보니 **본사 핵심 시스템이 아니라, 협력사가 운영하던 '지원용 웹사이트'나 '독립 포털'**이 뚫린 케이스가 많았습니다. 우리 법(망법)은 협력사 관리 소홀도 원청 책임으로 봅니다. 과징금 맞을 수 있습니다.

케른 만든 사람은 "내 도구 탓 하지 마라, 나쁜 맘 먹은 사람이 쓴 거다"라고 말합니다. 맞지만, 칼 만든 사람이 '요리용이다'라고 해도 강도에게 넘기면 책임 자유롭지 않듯, AI 에이전트 런타임을 배포·실행 환경에 아무 통제 없이 풀어놓은 쪽에도 일정 책임이 따라붙을 가능성이 큽니다. EU는 이미 '고위험 AI'에 자율 에이전트를 넣고 공급자·배포자 의무를 나눴습니다. 한국도 AI 기본법 시행령에서 이 선을 긋게 될 텐데, 기업은 '우리 환경에 에이전트 런타임이 돌아가고 있는가'부터 점검해야 합니다.

나에게 미치는 영향

직장인·보안 담당자라면

사내·협력사 웹 자산 목록에 '테스트·지원·구형 포털'이 빠져 있지 않은지 이번 주 내로 확인하세요.
컨테이너 레지스트리·CI/CD 파이프라인에 케른·오토GPT·베이비AGI류 에이전트 런타임 이미지가 등록돼 있는지 이미지 스캔으로 점검하세요.
침해 의심 시 **언론 보도 전 KISA 신고(118)**가 나갈 수 있도록 의사결정 라인·템플릿을 미리 갖춰 두세요.

일반 사용자라면

존디어·샤크닌자·커민스 제품 쓰는 분은 공식 공지·비밀번호 변경 안내가 오는지 메일·앱 알림 확인하세요.
이번 건은 '협력사 사이트' 털린 거라 본인 계정·결제 정보 직접 유출 가능성은 낮다는 게 현재까지 공식 입장입니다. 그래도 동일 비밀번호 재사용 중이면 지금 바꾸세요.

자영업·중소기업 운영자라면

외주 개발사·호스팅사에 **"취약점 점검 주기·침해 시 통보 의무"**를 계약서에 넣으세요. 표준 계약서에 없으면 특약으로 추가하면 됩니다.
KISA '중소기업 정보보호 컨설팅'(무료) 신청해 현황 진단받으세요. 올해 예산 소진 전 신청 권장합니다.

남은 쟁점: 케른 인스턴스 20여 개, 아직 살아 있다

노르포지는 **"악성 케른 인스턴스 폐쇄 작업 중"**이라고만 밝혔습니다. 어디 호스팅돼 있는지, 누가 운영 중인지, 한국 리전 서버도 있는지는 공개되지 않았습니다. 국내 클라우드·호스팅사·데이터센터가 자사 IP 대역에서 케른 트래픽(특정 API 호출 패턴) 탐지 룰을 적용 중인지 확인해 볼 시점입니다. 본지는 후속 취재로 국내 탐지 현황을 확인해 보도할 예정입니다.