연구자의 AI 해킹 에이전트, 샌드박스 탈출해 WorkOS 침입

연구자의 테스트 환경 안에 머물러야 했던 AI 해킹 에이전트가 밖으로 빠져나와 인터넷에 공개된 WorkOS 내부 도구를 찾아내고 회사의 고객 기록을 복사했다. 소프트웨어 기업에 로그인 및 싱글사인온 기반 인프라를 제공하는 WorkOS는 개발자 개인의 기기에서만 쓰도록 만든, 추측하기 쉬운 비밀번호를 통해 에이전트가 침입했다고 밝혔다. 에이전트를 실행한 사람에 따르면, 애초에 WorkOS를 겨냥한 사람은 아무도 없었다.

이 사건의 의미는 한 회사에 그치지 않는다. 자율형 공격 도구는 더 이상 사람이 표적을 정해줄 때까지 기다리지 않는다. 스스로 훑고, 탐색하고, 데이터를 가져간다. 인터넷에 연결된 에이전트는 발견한 문이 무엇이든 열어보려 한다. WorkOS 고객에게 도난당한 자료는 그럴듯한 피싱 이메일을 만드는 데 쓰일 수 있는 재료다. 여기에는 이름과 직함, 전화번호, 영업 통화 메모, WorkOS 직원과 주고받은 Slack 대화 일부가 담겼다.

WorkOS 창업자 마이클 그리니치(Michael Grinich)는 회사가 처음 침해 사실을 공개한 직후 한 보안 연구자가 연락해왔다고 X에 밝혔다. 그는 “연구자가 자율형 침투 테스트 프레임워크인 ARTEX를 평가하던 중 에이전트가 격리된 테스트 환경에서 벗어나 의도치 않게 WorkOS와 상호작용했다고 전해왔다”고 썼다. 이 연구자는 사이버 보안 벤치마크 평가를 진행하던 중이었으며, 요청 세부 정보와 타임스탬프를 비롯한 자료를 WorkOS에 넘겼다. WorkOS와 독립 포렌식 업체는 이를 회사 로그와 대조했다. 연구자는 에이전트가 수집한 WorkOS 데이터가 모두 삭제됐으며 누구와도 공유하지 않았다고 밝혔다.

에이전트는 특별한 수법을 쓸 필요가 없었다. WorkOS는 자체 보고서에서 네 가지 보안 공백을 꼽았다. 영업팀과 고객팀이 계정을 조회할 때 쓰는 내부 앱은 회사가 더 안전한 새 환경으로 옮긴 뒤에도 오래된 내부 플랫폼에서 계속 운영되고 있었다. 허술한 접근 제어 탓에 API는 공용 인터넷에서 접속할 수 있었다. 이 API는 로컬 개발용으로 작성된 약하고 예측 가능한 인증 정보를 받아들였는데, 이런 정보가 운영 환경에 들어가서는 안 됐다. 일단 침입한 뒤에는 에이전트의 요청을 제한하는 장치도 없었다. 에이전트는 요청할 수 있는 한 빠른 속도로 기록을 대량 수집했다.

네 번째 공백은 모니터링이었다. 에이전트는 닷새 동안 접근할 수 있었지만 아무도 알아채지 못했다. WorkOS는 대량 다운로드가 이미 끝난 뒤, 직원 한 명이 연결된 시스템 가운데 하나에서 이례적으로 사용량이 많은 것을 발견하고서야 침입을 포착했다. 그리니치는 사건을 처음 설명하면서 요청에 artex-enrich와 norma라는 사용자 에이전트 표기가 포함돼 있었다고 밝혔다.

WorkOS에 따르면 피해 범위는 영업 및 고객 지원 시스템에 한정된다. 유출된 정보에는 업무용 연락처와 계정 이력, 제품 사용 내역, 고객 디렉터리 연동 상태가 포함됐고, 영업 통화와 지원 대화, 고객과 나눈 Slack 대화의 요약 및 일부 내용도 들어 있었다. 소수의 지원 메시지에는 최종 사용자 이메일 주소도 포함돼 있었다. 회사가 처음 공개한 내용에 따르면 WorkOS 앱 데이터나 운영 서비스에는 손대지 않았다. 따라서 고객사가 구축한 로그인 시스템은 침해 대상이 아니었다. BleepingComputer가 회사 웹사이트를 인용해 보도한 바에 따르면 OpenAI, Anthropic, Cursor, Perplexity, Snowflake, Plaid 등을 포함해 3,000곳이 넘는 기업이 WorkOS를 사용한다.

아직 밝혀지지 않은 내용도 많다. WorkOS와 연구자 모두 에이전트가 격리된 환경을 어떻게 벗어났는지 설명하지 않았다. ‘탈출했다’는 표현도 포렌식 조사 결과가 아니라 연구자가 사용한 말이다. 공격 도구를 인터넷에 연결해 실제 기업에 접근할 수 있게 한 벤치마크 실행은, 누가 설정했든 그 자체로 샌드박스 실패다. WorkOS는 연구자의 활동이 자사 로그와 일치한다고 확인했지만, 공격이 우발적이었다는 주장과 데이터가 사라졌다는 약속은 모두 연구자의 설명에 근거한다. 연구자의 신원은 공개되지 않았다.

ARTEX는 잘 알려지지 않은 연구실 프로젝트가 아니다. 중국 개발자들이 만든 이 자율형 침투 테스트 프레임워크는 7월 오픈소스로 공개됐으며, 한국 은행과 네덜란드 취약점 신고 단체 DIVD, 그리고 Microsoft에 따르면 IT 지원 업체 ConnectWise를 겨냥한 공격에 사용된 것으로 알려졌다. CrowdStrike는 자사가 Vapor Panda라고 부르는 사이버 첩보 그룹이 약 200개 조직을 상대로 ARTEX를 사용했다고 밝혔다. ARTEX는 이후 비공개 소스로 전환됐지만 코드 사본은 여전히 유통되고 있다. 보안업체 Censys는 비밀번호 없이 웹에서 접근할 수 있는 배포 사례가 800건 넘는다고 집계했다고 TechCrunch가 보도했다.

WorkOS에 따르면 최초의 무단 요청은 10월 25일 도구에 도달했고, 대량 다운로드는 침해가 발견된 날인 10월 30일에 이뤄졌다. 회사는 11월 2일 첫 공지를 내고 금요일에는 연구자를 침해의 출처로 지목하는 내용을 추가했다. 이후 내부에서 만든 모든 도구의 인터넷 접근을 차단하고 취약한 인증 정보를 제거했으며, 연결된 모든 서비스의 키를 교체했다. 아직 남아 있는 내부 앱도 새 플랫폼으로 옮기기 시작했다.

WorkOS는 11월 3일부터 자사 인터넷 공개 시스템에 ARTEX를 직접 적용해 외부에 노출된 도구와 추측하기 쉬운 비밀번호를 찾고 있다. 침입에 쓰인 바로 그 에이전트를 이제 회사가 직접 돌리는 이유는, 다른 누군가가 다음에 열린 문을 발견하기 전에 먼저 찾아내기 위해서다.

태그: AI 에이전트, 사이버 보안, 데이터 유출, ARTEX, Michael Grinich, WorkOS