안녕하세요, 리키입니다. 오늘 전해 드릴 소식은 외부 보도를 바탕으로 최신 사이버 보안 동향에 대해 정리해 드리는 내용입니다.
최근 공격자들이 조직이 보유한 인공지능 에이전트를 활용하여 복잡한 공격 활동을 수행하고 있다는 보도가 나왔습니다. 이들은 특정 타겟 엔드포인트에 접근하기 위해 특별한 인증 없이도 해당 위치만 알고 있다면 충분하다는 점이 가장 흥미로운 부분입니다.
연구 결과에 따르면, 공격자들은 ‘젠리티(Zenity)’라는 곳의 허니팟(honeypots) 내부에 있는 대규모 언어 모델(LLM) 인프라를 오펜시브 AI 작업의 자원으로 활용했습니다. 이 과정에서 올라마(Ollama)와 라이트렘(LiteLLM) 엔드포인트가 노출되었는데, 이는 공격에 필요한 접근 경로를 제공한 것입니다.
노출된 AI 엔드포인트를 이용한 공격 방식
공격자들은 특정 소프트웨어 취약점을 이용하지 않고도 이 노출된 엔드포인트를 활용했습니다. 구체적으로는 애플리케이션이 호출할 수 있도록 설정해 둔 ‘추론 엔드포인트(inference endpoints)’를 악용한 것입니다. 예를 들어, 올라마의 ‘/api/generate’나 ‘/api/chat’ 같은 엔드포인트와 라이트렘의 ‘/v1/responses’ 엔드포인트를 공격자들이 이용했습니다.
이러한 접근 방식에서 핵심은 에이전트(agent)를 활용하는 것입니다. 공격자들은 특정 클라이언트 도구(예: 라이트렘 클라이언트, 코덱스 명령어 인터페이스 등)를 사용하여 노출된 엔드포인트를 모델 백엔드로 설정했습니다. 이때 에이전트의 ‘두뇌’에 해당하는 시스템 프롬프트와 도구 정의 정보가 요청 본문에 담겨 전송되었으며, 이는 센서들이 포착한 내용입니다.
실제로 세 명의 공격자는 이 인프라를 활용하여 다양한 목적을 달성했습니다. 일부는 자율적인 침투 테스트 프레임워크(Strix와 HexStrike AI)를 사용했고, 다른 하나는 안전 거부 기능을 억제하고 웹 리버스 엔지니어링 작업을 돕도록 설정된 오픈AI 코덱스 에이전트를 활용했습니다.
결론적으로, 이번 보도는 인공지능 시스템의 노출된 접근 경로가 어떻게 공격 도구로 악용될 수 있는지 보여줍니다. 특히 올라마와 라이트렘 같은 AI 소프트웨어들이 기본 포트에서 인증을 내장하고 있지 않거나 선택 사항으로만 제공하는 구조 때문에 이러한 취약점이 발생할 수 있다는 점이 주목됩니다.
참고 원문: https://www.darkreading.com/cloud-security/attackers-hijack-exposed-ai-endpoints-power-offensive-ops