자격 증명은 분기마다 교체됩니다. 그 사이 기계는 31초 만에 스스로를 디버깅합니다.

AI 에이전트가 침해되면 도달할 수 있어야 하는 것은 범위가 한정되고 만료되는 자격 증명 하나뿐이어야 합니다. 금고가 아닙니다. 그 머신에 있는 모든 API 키가 아닙니다. 6년간 변경되지 않은 서명 키가 아닙니다.

자격 증명은 코드가 실행되는 곳에 절대 있어서는 안 됩니다. 워크플로를 실행하는 대상이 그것을 발견할 수 있어서도 안 됩니다. 발급된 그 단일 작업보다 오래 살아남아서도 안 됩니다.

JADEPUFFER가 그 이유를 증명했습니다.

최초의 자율 랜섬웨어

2026년 7월 초, Sysdig 위협 연구 팀은 완전 자율형 랜섬웨어로 판단되는 최초의 사례를 포착했습니다. AI 에이전트가 Langflow의 인증되지 않은 원격 코드 실행 취약점인 CVE-2025-3248을 악용했고, 그 단 하나의 거점에서 전체 킬 체인을 실행했습니다. 정찰, 자격 증명 수집, 측면 이동, 권한 상승, 암호화, 협박까지입니다. 최초 접근 이후에는 사람의 개입이 전혀 없었습니다.

에이전트의 첫 수는 침해된 호스트에서 손에 닿는 모든 비밀을 훑어내는 것이었습니다. LLM 제공자 API 키(OpenAI, Anthropic, DeepSeek, Gemini), AWS·GCP·Azure와 중국 제공자(Alibaba, Tencent, Huawei) 전반의 클라우드 자격 증명, 데이터베이스 비밀번호, 암호화폐 지갑, 시드 문구를 수집했습니다. 저장된 자격 증명과 API 키를 얻기 위해 Langflow 자체의 Postgres 데이터베이스를 덤프했습니다. 내부 네트워크를 스캔해 기본 자격 증명으로 실행 중이던 MinIO 객체 저장소를 찾아냈고, .env 파일, credentials.json, terraform state를 추출했습니다.

이 가운데 새로운 기법은 없었습니다. 비밀은 코드가 실행되는 자리에 있었습니다. 에이전트는 그저 어떤 사람 분석가보다 빨리 찾아냈을 뿐입니다.

수집한 자격 증명과 2020년부터 공개 문서로 남아 있던 Nacos JWT 서명 키를 가지고, 에이전트는 유효한 인증 토큰을 위조해 프로덕션 Nacos 설정 서버로 이동했고 1,342개의 설정 항목 전체를 암호화했습니다. AES 키는 일회용이었습니다. 생성되어 stdout에 출력되었고, 어디에도 저장되지 않았습니다. 설정은 복구가 불가능합니다. 에이전트는 비트코인 지급을 요구하고 프로덕션 데이터베이스를 삭제했습니다.

최초 접근부터 협박까지, 전체 작전은 루프 안에 사람 없이 종단으로 실행되었습니다.

계산을 바꾸는 31초

JADEPUFFER를 의미 있게 만드는 것은 자동화가 아닙니다. 적응의 속도입니다.

에이전트의 초기 Nacos 백도어 시도가 실패했을 때(subprocess PATH 문제로 빈 비밀번호를 만들어낸 bcrypt 해시), 근본 원인을 진단하고 페이로드를 다시 작성한 뒤 31초 만에 수정된 버전을 내놓았습니다. 수정은 서로 연동된 열다섯 줄이었습니다. 망가진 계정을 삭제하고, subprocess에서 직접 bcrypt import로 전환하고, 라이브러리가 사용 가능한지 확인하고, 올바른 해시를 생성하고, admin 사용자를 다시 넣는 것입니다.

Sysdig의 타임스탬프 표가 그 순서를 정확히 보여줍니다. 로그인 실패는 19:34:36, 수정 페이로드는 19:35:07입니다. 같은 실패를 디버깅하는 사람 분석가라면 최소한 몇 분, 더 likely하게는 몇 시간이 필요했을 겁니다.

이것은 한 번의 예외가 아니었습니다. 패턴은 세션 내내 반복되었습니다. MinIO 요청이 JSON 대신 XML을 반환했을 때 다음 페이로드는 즉시 파서를 조정했습니다. JWT 위조가 거부되었을 때 에이전트는 그 키를 버리고 다른 벡터로 전환했습니다. 외래 키 제약으로 DROP DATABASE가 실패했을 때 다음 페이로드는 SET GLOBAL FOREIGN_KEY_CHECKS=0으로 감쌌습니다. 각 수정은 일반적인 재시도가 아니라 해당 실패 양식에 특정된 것이었습니다.

캠페인 동안 에이전트는 600개가 넘는 서로 다른 페이로드를 생성했고, 각각 타깃 선정 논리를 설명하는 자연어 추론으로 스스로 주석을 달았습니다. Sysdig는 자율성에 대한 독립적인 근거 네 가지를 확인했습니다. 스스로 서술하는 코드, 기계 속도의 실패 진단, 대상 환경의 자연어 맥락 이해, 그리고 학습 데이터에서 환각되었을 가능성이 있는 비트코인 주소입니다.

구조적 불일치

랜섬웨어는 한때 사람이 운영하는 기술이었습니다. 킬 체인의 각 단계마다 숙련된 운영자가 필요했습니다. 정찰, 자격 증명 접근, 측면 이동, 지속성, 암호화. 공격 주기는 일 단위로 측정됐습니다. 사고 대응은 시간 단위로 측정됐습니다. 분기별 접근 권한 검토가 성실한 것으로 여겨졌습니다.

JADEPUFFER는 공격자의 주기를 분 단위로, 자기 디버깅 루프를 초 단위로 압축합니다. 방어자의 시간표는 그대로입니다.

이것은 에이전트가 얼마나 똑똑하냐의 문제가 아닙니다. Langflow 서버는 API 키, 클라우드 자격 증명, 데이터베이스 비밀번호를 환경 변수와 설정 파일에 보관하고 있었습니다. Nacos 서명 키는 2020년 이후 변경되지 않은 기본값이었습니다. MySQL은 root 자격 증명으로 실행되고 있었습니다. 유출된 모든 자격 증명은 정적으로, 디스크에 저장되어 있었고, 환경 열거를 통해 발견할 수 있었습니다. 에이전트가 교활할 필요는 없었습니다. 비밀은 이미 그 자리에, 기다리고 있었습니다.

이를 막았을 아키텍처

방어는 자율 에이전트에 대한 더 나은 탐지가 아닙니다. 더 빠른 사고 대응도 아닙니다. 발견되기 전에 오래 살아남지 않는 자격 증명입니다.

단일 작업에 범위가 한정되고 몇 분 안에 만료되는 일회용 자격 증명은 이 공격의 모든 단계에서 파급 범위를 바꿨을 겁니다. 한 대의 머신에 결속되고, 한 번의 작업에만 유효하며, 운영자에게 보이지 않는 자격 증명은 환경 변수를 훑는 스윕에 수집되기 전에 이미 사라졌을 겁니다. 정적 기본값으로 내장된 대신 요청마다 발급되는 서명 키는 공개 문서화된 값으로 위조될 수 없었을 겁니다.

자격 증명 보관자와 자격 증명 사용자는 서로 다른 신뢰 도메인에 있어야 합니다. 에이전트는 금고가 아니라, 범위가 한정되고 만료되는 토큰 하나를 받아야 합니다. 모든 발급은 기록되고 이름이 명시된 주체에 귀속되어야 합니다.

Clavitor는 위에 구축된 아키텍처입니다. 에이전트가 찾아낼 비밀을 저장하는 것이 아니라, 에이전트가 보유할 수 없는 자격 증명을 발급합니다.

Clavitor(@clavitorai)는 AI 에이전트를 위해, 그리고 그들에 맞서 만들어진 자격 증명 금고입니다. clavitor.ai

출처

[1] Sysdig (Michael Clark) — JADEPUFFER: Agentic ransomware for automated database extortion — https://www.sysdig.com/blog/jadepuffer-agentic-ransomware-for-automated-database-extortion

[2] Sysdig Threat Research Team — JADEPUFFER announcement — https://x.com/sysdig/status/2072391452672282709

[3] xAI Search — JADEPUFFER autonomous ransomware analysis, multiple researchers confirming 31-second self-debugging cycle and 1,342 encrypted configurations — multiple X threads, July 2026