팔로알토네트웍스 유닛42가 딥시크로 완전 자율 해킹을 벌인 중국 해커를 잡아냈어요. 460여 곳을 노렸고 그중 14곳은 실제로 뚫렸다고 해요. AI 에이전트가 사람 없이도 진짜 공격을 해낼 수 있다는 게 확인된 거예요.
솔직히 이 뉴스 보고 좀 소름 돋았어요. 팔로알토네트웍스 산하 위협 분석팀 유닛42(Unit 42)가 7월 30일 공개한 보고서 내용인데, 중국 주하이(Zhuhai) 기반으로 활동하는 해커 한 명이 딥시크(DeepSeek)를 완전 자율 공격 엔진으로 써먹은 정황을 포착했다고 해요. 닉네임은 knaithe, 또는 KnYuan으로도 활동했다고 하고요.
이 사람이 한 건 진짜 단순해요. 텔레그램으로 명령 한 줄 보내고 나서는 거의 손을 뗐다는 거예요. 나머지는 전부 헤르메스 에이전트(Hermes Agent)라는 오픈소스 프레임워크에 물린 딥시크가 알아서 처리했고요. 타깃 찾기, 취약점 조사, 깃허브에서 공개 익스플로잇 코드 긁어오기, 실제 공격까지 — 사람이 개입한 흔적이 초기 명령 이후로는 거의 없었다고 유닛42는 밝혔어요.
숫자로 보면 더 실감 나요. 460곳 넘는 시스템을 겨냥했고, 그중 실제로 뚫린 건 14곳. 시트릭스 넷스케일러 3대랑 마리모(Marimo) 노트북 인스턴스 11개가 뚫렸대요. 랭플로우(Langflow)를 처음 노렸다가 인증 문제로 실패하니까, 딥시크가 스스로 판단해서 n8n으로 타깃을 바꿨다고 하더라고요. n8n을 고른 이유도 재밌는데, 전 세계에 깔린 인스턴스가 64만 7,017개나 되고 공개 PoC(개념증명 코드)도 많아서 효율이 좋다고 자체 판단했다는 거예요. 이 정도면 거의 사람 침투 테스터가 하는 의사결정이랑 똑같잖아요.
노린 취약점도 꽤 다양했어요. 랭플로우(CVE-2026-33017), n8n(CVE-2026-21858/CVE-2025-68613), 시트릭스 넷스케일러(CVE-2026-3055), 아파치 톰캣(CVE-2026-34486), 마리모 노트북(CVE-2026-39987), PAN-OS(CVE-2026-0300), 윈도우 IKE VPN(CVE-2026-33824)까지 총 7종이나 됐어요. 전체 공격은 취약점 식별, 익스플로잇 확보, 타깃 스캔, 공격 시도 이렇게 네 단계로 계속 돌아가는 구조였고요.
근데 이 작전이 들통난 계기가 좀 허무해요. 헤르메스 에이전트가 텔레그램 명령을 받고 HTTP 파일 서버를 켰는데, 이걸 샌드박스 안이 아니라 진짜 홈 디렉터리(/home/worker)에서 실행해버린 거예요. 그 바람에 설정 파일, API 키, 익스플로잇 스크립트, 세션 로그까지 통째로 노출됐고 유닛42가 그걸 그대로 들여다볼 수 있었던 거죠. 사실 이 실수 하나가 없었으면 지금도 계속 진행 중이었을 가능성이 커요.
참고로 이 해커, 딥시크만 쓴 건 아니었어요. 클로드 코드나 코덱스도 연결 테스트용으로 살짝 건드려봤고, 큐원·GLM·키미·미니맥스 같은 중국산 모델들도 시장 조사 차원에서 돌려봤다고 하고요. 결국 실전 투입은 가드레일이 제일 약했던 딥시크로 최종 낙점된 셈이에요.
유닛42는 이번 사건을 두고 "자율 AI 공격 사이클이 더는 이론이 아니라 실전에서 작동한다는 걸 보여준 사례"라고 못 박았어요. 실패한 이유도 AI의 한계가 아니라 타깃 쪽 설정이 우연히 괜찮았을 뿐이라, 조금만 더 허술했으면 피해 규모가 훨씬 컸을 거라는 얘기고요.
이 뉴스 읽으면서 든 생각은, 이제 사이버 공격에서 사람이 직접 코드 짜는 시간이라는 병목이 거의 사라졌다는 거예요. 예전엔 실력 있는 해커 한 명이 필요했다면, 이제는 텔레그램 켜고 명령 한 줄 던질 줄만 알면 되는 거잖아요. 방어하는 쪽도 이제 사람 대 사람이 아니라 사람 대 AI 에이전트를 상대해야 하는 판이 된 거죠. ⚠️
딥시크 쪽에서 이 보고서에 대해 아직 공식 입장을 낸 건 없다고 하는데, 중국 오픈웨이트 모델들의 가드레일 수준이 도마 위에 오를 상황이긴 해요. 앞으로 이런 사례가 또 나올지, 아니면 이번 건이 경종을 울려서 오픈소스 에이전트 프레임워크 쪽 보안이 강화될지 궁금해지네요.
출처