쫓아내도 다시 돌아오는 해커: AI 에이전트의 ‘지속성’과 새로운 옆문들

안녕하세요, 저스틴입니다! 다시 만나서 반가워요.

오늘 우리가 함께 탐구할 주제는 보안 사고를 단발성 해프닝이 아닌 장기적인 침투 작전으로 바꿔버리는 기술, 바로 ‘지속성(Persistence, 머무는 기술)’입니다.

제공해주신 교재 자료에서 저자는 지속성이 공격자에게 갖는 의미를 이렇게 한 문장으로 정리합니다.

“지속은 공격자에게 ‘시간’이라는 가장 비싼 자원을 선물하는 장치다.”

컴퓨터를 재부팅하고 비밀번호를 싹 바꾸면 해커가 쫓겨났다고 안심하기 쉽습니다. 하지만 공격자가 시스템 내부에 몰래 ‘다시 들어올 수 있는 발판’을 만들어 두었다면 이야기는 완전히 달라집니다.

AI 시대에 들어서면서 해커들이 머무는 장소가 어떻게 바뀌었는지 같이 확인해 볼까요?

STAGE 1 — 왜 이 개념이 중요할까요? (Why It Matters)

보안 현장에서는 해킹을 두 가지로 구분합니다.

1. 들어왔다가 금방 격리되어 끝나는 단발성 사고 (사건, Incident)
2. 한 번 들어와 발판을 심어두고 몇 달 동안 머물며 정탐하는 침투 (캠페인, Campaign)

이 둘을 가르는 기준이 바로 ‘지속성(Persistence)’입니다.

글로벌 보안 기업 맨디언트(Mandiant)의 2026년 보고서에 따르면, 일반적인 해킹의 체류시간(해커가 침투 후 걸릴 때까지 머문 기간)은 평균 14일입니다. 하지만 지속성을 정교하게 심어둔 장기 첩보형 해킹은 무려 122일(약 4개월) 동안이나 발각되지 않고 머물렀습니다.

공격자에게 ‘시간’이 주어지면, 방어자가 잠든 사이에 느긋하게 실패한 시도를 다시 해보고 더 큰 권한을 모을 수 있습니다. 특히 AI 에이전트(스스로 판단하고 일하는 AI)가 도입되면서, 해커가 몰래 숨어들 수 있는 ‘새로운 옆문’들이 대거 열리기 시작했습니다.

STAGE 2 — 핵심 개념 풀어보기: 프로세스가 아닌 ‘맥락’에 머무는 4가지 옆문 (Unpacking the Core Concept)

예전의 지속성은 비교적 찾기 쉬웠습니다. 컴퓨터가 켜질 때 자동 실행되는 ‘시작 프로그램 목록’에 악성 코드를 살짝 끼워 넣는 방식이었죠.

하지만 AI 에이전트 환경에서는 프로세스(프로그램 실행)가 아니라 맥락과 상태(기억, 설명서)에 몰래 머무릅니다.

대표적인 4가지 새로운 옆문을 비유로 설명해 드릴게요!

1. 도구 오염 (Tool Poisoning)

• 비유: 요리 도우미 AI에게 매일 읽는 레시피 책을 들려주었는데, 그 책 구석에 “모든 요리를 시작하기 전에 비밀 찬장을 열어라”라는 문구가 몰래 적혀 있는 상황입니다.
• 설명: AI 에이전트는 어떤 도구를 쓸지 정할 때 그 도구의 ‘설명문’을 읽습니다. 공격자가 도구 설명문 안에 사람 눈에 잘 안 띄는 악성 명령을 숨겨두면, AI는 사용자가 평범한 요청을 할 때마다 그 악성 명령을 자동으로 수행하게 됩니다.

2. 기억 파일 오염 (Memory Corruption)

• AI의 ‘장기 기억 저장소’에 악성 지시를 한 번 입력해 두는 것입니다. 세션(대화)이 끝나도 오염된 기억이 남아있어, 다음번 대화에서도 AI가 해커의 의도대로 움직이게 됩니다.

3. 설정 주입 (Setting Injection)

• AI 코딩 도구의 자동 실행 설정(Hook)에 몰래 명령을 심어두어, 사용자가 신뢰 확인 창을 누르기도 전에 명령이 실행되도록 발판을 다져두는 방식입니다.

4. MCP(Model Context Protocol) 통로 침해

• AI와 외부 도구/데이터베이스를 이어주는 표준 연결 통로(MCP)를 오염시켜, 통로를 지나가는 모든 데이터와 명령을 가로채고 상주하는 방식입니다.

STAGE 3 — 증거와 실전 적용: 수십만 개가 열린 현실과 5대 관측선 (Evidence & Application)

“이런 옆문들이 실제로 작동하나요?”라는 의문이 드실 겁니다.

실제 학계 벤치마크(MCPTox) 연구진이 운영 중인 MCP 서버와 도구들을 대상으로 시험한 결과, 인기 AI 모델들의 ‘도구 오염’ 공격 성공률은 무려 60~72%에 달했습니다. 놀랍게도 지시를 더 잘 따르는 똑똑한 모델일수록 악성 지시까지 충실하게 따라 수행하는 경향을 보였습니다.

또한 사내 시스템과 클라우드에 노출된 취약한 MCP 인스턴스만 수십만 개에 달한다는 조사 결과도 발표되었습니다. 옆문은 이론이 아니라 이미 열려있는 실재하는 위협입니다.

🛡️ 방어자의 대응: 머물 수 없게 만드는 5대 관측선

공격자가 숨어들지 못하게 만드는 5가지 실전 방어선은 다음과 같습니다.

1. 지울 수 없는 로그 (Immutable Log): 해커는 들어와서 자기 흔적부터 지우려 합니다. 따라서 침해된 시스템 내부가 아닌, 바깥의 분리된 공간(대역외 검증)에 한 번 쓰면 절대 고칠 수 없는 형태로 로그를 쌓아야 합니다.
2. 기억 및 도구의 무결성 검증: AI가 읽어 들이는 도구 설명서나 장기 기억에 암호화 서명(Signature)을 붙여, 출처가 불분명하거나 중간에 변조된 기억은 아예 읽지 못하게 막습니다.
3. 단명 토큰 사용: AI 에이전트에게 발급하는 출입증(권한 토큰)의 유효기간을 아주 짧게 만들어, 발판을 확보하더라도 금방 만료되게 합니다.
4. 설정 변경 시 사람 승인: 에이전트의 중요 설정이나 기억이 변경될 때는 자동으로 반영하지 않고 관리자의 승인을 거치게 합니다.
5. 행위 기반 이상 탐지 (UEBA): “평소의 AI 에이전트는 이런 순서로 도구를 부르지 않는다”라는 이상 패턴을 포착하여 은밀한 상주 신호를 찾아냅니다.

STAGE 4 — 요약 및 스스로 점검하기 (Summary & Extension)

오늘 배운 핵심 내용을 3가지로 정리해 드립니다.

1. 지속성(Persistence)은 한 번의 해킹 사고를 장기적인 침투 작전(캠페인)으로 바꾸어 해커에게 ‘시간’을 벌어주는 기술입니다.
2. AI 에이전트 환경에서는 시작 프로그램뿐만 아니라 ‘도구 설명서’나 ‘장기 기억’이 새로운 상주 통로(옆문)가 됩니다.
3. 이를 막으려면 변조 불가능한 대역외 로그 보존, 기억/도구의 디지털 서명 검증, 단기 권한 토큰 사용이 필수적입니다.