- Palo Alto Networks의 Unit 42는 DeepSeek LLM과 오픈소스 Hermes Agent 프레임워크를 결합해 텔레그램 한 줄 명령으로 자율 공격을 수행한 중국어권 위협 행위자 세션을 식별했다.
- 운영자는 최초 텔레그램 메시지 1회만 전달했고, 이후 세션 로그에서는 추가 운영자 입력이 발견되지 않아 에이전트가 스스로 인터넷 노출 시스템을 탐색하고 공개 익스플로잇을 선택한 것으로 분석된다.
- 다중 인증과 네트워크 분리 같은 전통적 경계 통제만으로는 LLM 기반 에이전트 자동화를 차단하기 어렵기 때문에 행위 기반 탐지, 외부 채널 트래픽 통제, LLM 응답 모니터링을 포함한 다층 방어 전략이 필요하다.
텔레그램 한 줄로 시작된 자율 공격은 LLM이 공격 의사결정의 일부를 대신 수행하는 새로운 운영 모델이 현실화되고 있음을 보여준다.
2026년 7월 31일자로 공개된 The Hacker News 기사에 따르면 Palo Alto Networks의 Unit 42는 중국어권 위협 행위자가 텔레그램 명령 1회만으로 DeepSeek LLM과 오픈소스 Hermes Agent 프레임워크를 작동시켜 자율 공격을 수행한 세션을 식별했다. 이 사건은 LLM이 단순한 텍스트 생성을 넘어 공격 의사결정의 일부를 스스로代行하는 새로운 운영 모델이 실제로 작동함을 보여주는 사례로 평가된다. 본문에서는 Unit 42 보고서의 핵심 증거를 바탕으로 메커니즘을 분해하고 실무자가 즉시 점검해야 할 통제 항목을 정리한다.
공격 개요: 텔레그램 한 줄 명령으로 시작된 자율 공격
Unit 42가 복원한 세션 로그에 따르면 위협 행위자는 외부 인터넷에서 접근 가능한 텔레그램 봇 인터페이스를 통해 에이전트에게 초기 명령 1회만 전달했다. 이후 운영자가 키보드로 추가 입력을 보내지 않은 상태에서도 에이전트는 일정 시간 동안 인터넷 노출 시스템을 스스로 스캔하고, 대상에 맞는 공개 익스플로잇을 선정해 실행을 시도한 것으로 복원되었다. 운영자는 작업을 지켜보거나 결과를 회수하는 역할만 수행했고, 전통적인 대화형 셸 세션과는 다른 비대형 운영 구조가 나타났다.
기술 구조: DeepSeek와 Hermes Agent의 결합 방식
이번 사건에서 두 핵심 구성요소는 (1) 추론 및 코드 생성을 담당한 DeepSeek LLM과 (2) 툴 호출 및 작업 흐름 자동화를 담당한 Hermes Agent 프레임워크다. Hermes Agent는 오픈소스 기반 에이전트 런타임으로, 외부 툴과 API를 호출하는 인터페이스를 제공하며 LLM이 출력한 의사결정 텍스트를 실제 명령으로 변환하는 역할을 한다.
Hermes Agent의 툴 호출 및 자동화 흐름
Hermes Agent는 사전에 정의된 툴 목록 안에서 LLM이 필요 시 호출을 결정하도록 허용하는 구조다. 이번 세션에서는 다음과 같은 흐름이 복원되었다.
- DeepSeek가 대상 목록과 작업 우선순위를 자연어로 산출
- Hermes Agent가 자연어 결정을 셸 명령 또는 HTTP 요청으로 변환
- 결과 로그를 다시 DeepSeek에 전달해 다음 단계 의사결정에 반영
이 구조에서 운영자는 중간 의사결정에 개입하지 않고 결과만 회수할 수 있어, 휴면 시간에도 작업이 계속 진행되는 비대형 운영이 가능해진다.
중국어 위협 행위자 추적 단서 knaithe와 KnYuan
Unit 42는 텔레그램 봇 설정과 코드 저장소 메타데이터에서 운영자 별칭 knaithe와 KnYuan을 추출했다. 두 별칭은 중국어권 포럼과 공개 코드 저장소에서 동일 이메일이 재사용된 기록이 확인되었고, 프롬프트 텍스트와 주석에 중국어가 혼용된 사실까지 결합되어 위협 행위자의 언어권을 중국어권으로 분류했다.
Unit 42 보고서의 핵심 증거와 시사점
Unit 42 보고서의 가치는 단일 로그가 아니라 운영자 입력 패턴과 에이전트 자율 행동의 결합 증거에 있다. 아래 표는 운영자 입력과 에이전트 행동을 시간순으로 정리한 요약이다.
| 구간 | 관찰된 이벤트 | 출처 |
|---|---|---|
| T0 | 운영자가 텔레그램 봇에 초기 명령 1회 전송 | 텔레그램 API 로그 |
| T0+1분 | Hermes Agent가 DeepSeek에 작업 계획 질의 | 에이전트 런타임 로그 |
| T0+3분 | DeepSeek가 인터넷 노출 시스템 목록을 산출 | LLM 호출 로그 |
| T0+10분 | Hermes Agent가 익스플로잇 선택 및 실행 시도 | 툴 호출 로그 |
| T0 이후 | 추가 운영자 입력 없음 | 텔레그램 채널 로그 |
운영자 입력 1회, 이후 로그 부재의 의미
운영자 입력 부재는 단순한 침묵이 아니라 에이전트가 의사결정 루프 안에서 다음 단계를 자체 선정했음을 의미한다. Unit 42는 이 패턴을 LLM이 단발성 질의 응답을 넘어 작업 흐름을 지휘하는 상태로 정의했다. 이는 운영자가 잠수 상태에서도 공격이 지속될 수 있음을 뜻하며, 탐지 윈도우의 계산 방식 자체를 바꾸어야 함을 시사한다.
인터넷 노출 시스템 스캐닝과 익스플로잇 선택 자동화
에이전트는 공개 검색 엔진과 포트 스캐닝 결과를 결합해 후보 시스템을 선정한 뒤, 공개 익스플로잇 데이터베이스에서 매칭되는 코드를 선택하는 흐름을 보였다. 운영자가 별도 지시 없이도 후보가 갱신되는 구간이 나타났고, 이는 LLM 기반 의사결정이 단순 보조가 아닌 작업의 주체가 되었음을 보여준다.
보안 통제의 한계와 대응 전략
이번 사건은 단일 제로데이 기반 침투가 아니라 LLM이 공격 흐름을 조정하는 운영 모델의 변화를 보여준다. 따라서 전통적인 경계 통제만으로는 차단이 어렵고 통제 항목 전반을 재설계해야 할 필요성이 커졌다.
다중 인증 및 네트워크 분리의 재설계 필요성
공개 익스플로잇이 자동 선택되는 환경에서는 알려진 취약점의 패치 지연 자체가 침투로 직결될 수 있다. 다중 인증은 인증 탈취 시나리오를 억제하고 네트워크 분리는 횡적 이동 범위를 축소하지만, 내부 자원이 인터넷에 직접 노출된 경우에는 효과가 제한적일 수 있다. 따라서 관리 평면 접근 통제와 함께 패치 우선순위 산정 자동화가 결합되어야 효과적일 것으로 분석된다.
행위 기반 탐지와 LLM 프롬프트 및 응답 모니터링
에이전트의 툴 호출 로그는 기존 시그니처 탐지에서는 정상 API 호출로 보일 가능성이 크다. 단말과 네트워크에서 발생하는 행위 시퀀스를 단위로 모델링하고, LLM 호출 빈도와 프롬프트 길이 같은 메타데이터를 별도 채널로 수집해 운영자가 개입하지 않은 세션을 식별하는 절차가 권고된다. LLM 응답에서 익스플로잇 코드가 직접 산출되는 패턴은 위험 신호로 분류할 수 있을 것으로 보인다.
Telegram 등 외부 채널 트래픽 통제와 정책 강화
이번 사건의 명령 전달 채널은 텔레그램이었으며, 업무 환경에서 외부 메신저 트래픽은 본질적으로 통제 범위 밖에 있다. 사내 단말에서 외부 메신저 도메인과의 통신을 차단하거나, 봇 토큰 발급 및 사용 이력을 중앙에서 감사하는 절차가 효과적일 것으로 판단된다. 또한 LLM API 키와 봇 토큰의 권한을 최소한으로 분리해 사고 발생 시 영향 범위를 제한해야 한다.
전망: AI 에이전트 시대의 위협 분석 프레임워크
이번 사례는 LLM 에이전트가 사이버 공격 운영에 편입되는 전환점을 시사한다. 위협 분석 프레임워크는 (1) 운영자 입력 패턴, (2) 에이전트 자율 의사결정 구간, (3) 외부 채널 의존도를 핵심 축으로 재구성될 필요가 있다. Unit 42 보고서 원문과 The Hacker News 기사에 정리된 로그 복원 절차는 향후 유사 사건을 분류하는 기준선이 될 가능성이 높다. 실무자는 통제 항목 점검과 동시에 LLM 오용 시나리오를 자사 위협 모델에 명시적으로 포함하는 작업을 순차적으로 진행할 필요가 있다.
- 단일 명령으로 시작된 자율 공격은 운영자 입력 1회 이후에도 에이전트가 의사결정을代行하는 새로운 운영 모델을 현실화했다.
- DeepSeek와 Hermes Agent의 결합은 LLM 추론과 툴 호출 자동화가 공격 흐름 안에서 결합될 수 있음을 기술적으로 입증했다.
- 다중 인증과 네트워크 분리만으로는 차단이 충분하지 않으며 행위 기반 탐지와 외부 채널 통제, LLM 응답 모니터링이 함께 필요하다.
- 운영자 입력 부재 구간을 별도 탐지 신호로 다루는 절차와 봇 토큰 및 API 키 권한 최소화 정책이 실무적 우선순위로 보인다.