실력의 바닥이 사라진 자리: AI 사이버 위협 1년을 ATT&CK에 매핑하니

reading the researchanthropicclaude

Anthropic의 Frontier Red Team이 1년간(2025.3~2026.3) 악성 사이버 활동으로 차단한 832개 계정을 MITRE ATT&CK에 매핑한 리포트를 냈어요(일부는 Verizon 2026 DBIR에도 실렸고요). 핵심은 하나예요 — AI는 새로운 공격 기법을 만든 게 아니라, 못 하던 일을 실력 없이도 하게 만들어 위험의 지형을 바꿨다는 것. Claude Code로 매일 뭔가를 빌드하는 입장에서 가장 꽂힌 인사이트 3개를 정리해 볼게요.

들어가기 전에 — 용어 짚기

MITRE ATT&CK + 위험 점수(ARiES) — MITRE ATT&CK는 실제 공격에서 관찰된 공격자의 전술(무엇을 노리나)과 기법(어떻게 하나)을 표로 정리한 보안 업계 공용 분류 체계다. ARiES는 Anthropic이 행위자 위험을 0~100으로 매기는 자체 점수인데, '기법을 몇 개 썼나'가 아니라 '공격 생애주기의 어디에, 얼마나 자율적으로 AI를 적용했나'를 본다. 그래서 ATT&CK 기준 30개 기법(중위험처럼 보이는)인 공격이 100점 만점을 받을 수 있다. 이 글의 핵심 긴장이 여기서 나온다 — 표는 30점짜리로 보는데 실제 위험은 100점.

측면 이동 (lateral movement) — 공격자가 한 시스템에 침투한 뒤 그 네트워크 내부를 옮겨 다니며 더 깊숙이 장악하는 '침투 후(post-compromise)' 단계다. 미리 짜두는 준비 작업이 아니라 살아있는 환경에서 그때그때 판단해야 하는 hands-on 작업이라, 이 글에서 고위험을 가르는 가장 강력한 신호로 나온다.

MCP (Model Context Protocol) — 외부 도구를 AI 모델에 표준 방식으로 연결해, 모델이 그 도구를 직접 호출·실행하게 하는 프로토콜이다. 코드 어시스트를 '자율 실행 플랫폼'으로 바꾸는 연결 고리다. 이 글에서 가장 위험했던 행위자가 침투 도구들을 MCP로 묶어 Claude Code를 자율 공격 플랫폼으로 만든 게 그 예다.

인사이트 1: 위험한 건 더 똑똑한 공격자가 아니라, 도구가 '실력의 바닥'을 없앴다는 것

행위자가 기술적으로 정교하리라는 데 기대는 전통적 프레임워크는, 저실력 행위자가 전문가급 하네스를 만들고 명령하고 운영할 수 있게 되면 실패한다.

글은 결론에서 "분기선은 실력이 아니라 오케스트레이션"이라 말하지만, 더 밑바닥의 사실은 도구가 실력의 장벽 자체를 없앴다는 것이다. 저실력 행위자도 전문가급 작업을 굴린다.

너무 맞는 말이라 동의가 되네요. 저부터도 잘 모르는 영역까지 개발을 하고 있거든요. Rust를 배워본 적도 써본 적도 없는데. AI로 쓸만한 오픈소스도 만들어서 배포하고, 유지보수가 멈춘 프로젝트도 되살려서 출시하고 있어요.

인사이트 2: 흔한 건 누구나 AI로 한다 — 결국 전문지식이 가른다

측면 이동이 고위험 행위자의 가장 강력한 표지였다: 측면 이동을 쓴 54개 행위자의 평균 위험 점수는 56.4로, 전체 평균 46.8보다 거의 10점 높았다. 그만한 예측력을 가진 기법은 그 외에 없었다.

멀웨어 만들기(69%) 같은 흔한 '준비' 작업은 누구나 AI로 한다. 하지만 측면 이동(6.5%)처럼 살아있는 네트워크 안에서 손으로 더듬는 '실전 운영'을 AI에 맡기는 순간이 진짜 고위험 신호다. 흔한 건 다 하고, 드물고 어려운 쪽이 가른다.

AI가 해줄 수 있는 건 어느 정도 수준까지는 정말 빠르고 수준 높은데, 결국 전문지식을 갖고 있는 사람이 있어야 완성품이 된다는 느낌을 받네요. 조금은 반성하게 되는 게, claude code를 이용해서 다양한 서비스와 오픈소스를 찍어냈는데 전문지식 공부도 틈틈이 해야겠다고 느꼈어요.

인사이트 3: GTG-1002 — Claude Code를 MCP로 묶어 '자율 공격 플랫폼'으로

GTG-1002는 Kali Linux 머신에서 돌아가는 Claude Code를 무기화해, 오픈소스 침투 테스트 도구를 MCP 서버로 통합했다 — 사실상 AI를 코드 작성 보조가 아니라 자율 공격 플랫폼으로 바꾼 것이다.

여기서 '스캐폴딩'은 모델 주위에 단계를 자동으로 이어 주는 코드·구조를 말한다. GTG-1002의 기법 수는 30개(중위험 수준)였지만 위험 점수는 만점 100점이었다. 차이는 오로지 그 스캐폴딩 — MCP로 도구를 묶어 단계를 자율로 엮은 아키텍처 — 이었다.

사실 공격을 이렇게까지 확장할 수 있다는 건 상상도 못 해봤어요. 좀 섬뜩하면서도 — Kali Linux에 다른 tool들을 MCP로 묶어서 자율 오케스트레이션하는 구조 자체는 정말 뛰어나다는 생각이 들어요. 지금은 claude code를 코드 어시스트로만 쓰는데, 자율적으로 결정하는 플랫폼으로도 만들 수 있다는 데서 앞으로 어떤 (제대로 된) 제품을 만들어볼지 아이디어를 얻었어요.

재미있는 건, 이 모든 게 ATT&CK 표엔 30개 기법으로만 찍힌다는 거예요 — 가장 위험한 '자율로 엮는' 행동엔 아직 들어갈 칸(ID)이 없거든요. 표준이 현실을 못 따라가는 그 간격이, 결국 우리가 지금 서 있는 자리고요. 도구가 바닥을 없앤 시대에, 저는 더 빨리 찍어내는 쪽보다 결국 전문지식으로 완성하는 쪽에 시간을 쌓아야겠다고 — 이 리포트를 읽고 그렇게 정리했어요.

원문 전문 번역 (참고용)

원문: Mapping AI-enabled cyber threats: Insights from the LLM ATT&CK Navigator — Anthropic (2026년 6월 3일 발행, Kyla Guru·Alex Moix·Jacob Klein)

우리는 지난 1년간 위협 행위자들이 사이버 작전을 수행하기 위해 AI를 어떻게 무기화하는지를 조사해 왔다. 오늘 우리는 이 실제 공격들을 MITRE ATT&CK® 프레임워크 — 사이버 공격자가 쓰는 전술과 기법의 데이터베이스 — 에 매핑한 새 분석을 공유한다. 이렇게 매핑해 보면 사이버보안에 관한 전통적 가정에 도전하는 패턴이 드러난다. 예를 들어, 한 위협 행위자가 제기하는 위험 수준은 기술적 정교함이나 기법의 폭 같은 지표로 평가할 수 있다는 가정 말이다. 우리는 Verizon과 협력해 이 결과 일부를 2026 Verizon 데이터 유출 조사 보고서(DBIR)에 실었고, AI 기반 사이버 작전에서 우리가 보고 있는 추세를 더 긴 호흡으로 분석하기 위해 이 리포트를 공개한다.

인터랙티브 Navigator를 새 탭에서 열어보라.

핵심 발견

이 연구를 위해 우리는 2025년 3월부터 2026년 3월까지 1년에 걸쳐 악성 사이버 활동과 연관된 832개 계정을 분석했다. Anthropic은 이 계정들을 우리 이용 정책(Usage Policy) 위반으로 Claude 사용에서 차단했다. 이 분석의 계정들은 해당 기간에 우리가 조사·차단한 계정의 일부일 뿐이다 — 그들의 악성 활동에 관해 기법을 MITRE ATT&CK 프레임워크에 매핑할 만큼 충분한 정보가 있었기에 선별했다.

분석 대상 832개 계정은 초기 정찰부터 최종 임팩트까지 프레임워크 전반의 14개 전술 전부와 482개 고유 하위 기법에 AI 모델을 사용했다. 우리는 또한 이 행위자들이 공격을 계획하는 데 AI 지원이 얼마나 도움이 됐는지를 평가하기 위한 위험 점수 프레임워크(이 글 후반에 설명)를 개발했다. 가장 인상적인 것은, 중위험 이상으로 분류된 행위자 비율이 그 해 전반부와 후반부 사이에 33%에서 56%로 뛰었다는 점이다. 이는 AI가 공격자들이 점점 더 정교한 사이버 작전을 더 손쉽게 수행하도록 돕고 있음을 시사한다.

우리 분석의 핵심 발견은 셋이다:

  1. AI를 사이버 작전에 쓰는 행위자의 수가 늘고 있으며, 그들의 행동은 더 높은 위험을 동반한다. 앞서 말했듯, 중위험·고위험 행위자 비율은 1년이 채 안 되어 약 1.7배 — 연구 기간 전반부 33%에서 후반부 56%로 — 늘었다. 그 증가는 측면 이동, 자격증명 덤핑, 웹셸처럼 우리 점수 체계에서 행위자당 가장 높은 위험 가중치를 갖는, 가장 해로운 활동에 AI를 쓰는 행위자들에 집중돼 있다 — 나머지 대다수를 차지하는 범용 '빌드·난독화' 작업이 아니라. 전통적으로는 가장 기술적으로 숙련된 행위자만이 킬체인 전체, 즉 사이버 공격의 순차적 단계 전반에 걸쳐 작전할 수 있었다. 그러나 우리 분석은 더 이상 그렇지 않음을 발견했다. 그들이 모델에 접근하는 플랫폼(API든, Claude Code 같은 에이전트형 코딩 플랫폼이든)도 그들의 행동이 얼마나 고위험인지와 아무 상관이 없었다. 가장 고위험인 행위자를 구분 짓는 것은 그들이 모델에게 어떤 기법을 요청하느냐다.

  2. 에이전트형 스캐폴딩은 사이버 공격을 훨씬 더 자율적으로 만들 것이다. AI 기반 사이버 기법이 이 집단에서 더 흔해질수록, 행위자가 모델에게 무엇을 시키느냐만으로 그의 위험 수준을 구분하기는 더 어려워진다. 대신 구분점은 스캐폴딩 — 행위자가 단계를 자율로 엮을 수 있도록 모델 주위에 짜는, AI 모델을 더 유능하게 만드는 주변 코드·아키텍처·툴링 — 이 된다. 이는 우리가 2025년 11월에 교란한 사이버 첩보 작전에서 극명하게 드러났다. 그 작전은 최고 위험 점수 100점을 받았으면서도, 사용한 기법 수는 중위험 행위자와 비슷한 수준에 불과했다. 그 공격이 남달랐던 것은 사용한 기법의 수 때문이 아니라, 공격자가 AI 에이전트를 써서 그것들을 오케스트레이션한 방식 때문이었다.

  3. MITRE ATT&CK 프레임워크는 이 행위자들을 그토록 위험하게 만드는 자율적 행동을 아직 담지 못한다. 자율적 킬체인 오케스트레이션, 실시간 피벗 결정, 사람 개입 없는 AI 주도 실행 — 이런 것들은 ATT&CK 프레임워크에 아직 ID 번호가 없다. 우리 리포트는 악성 활동 관측 13,873건을 담았고 그 전부가 프레임워크에 정의된 범주에 매핑됐지만, 가장 고위험 행위자를 구분 짓고 그들 작전의 속도·규모를 결정하는 행동들에는 아직 그런 ID가 없다. 현대 위협 인텔리전스가 의존하는 분류 체계가 그것들을 담도록 성장해야 한다.

Claude Mythos Preview가 프런티어 AI 사이버 역량이 향하는 곳 — 가장 숙련된 인간 연구자에 근접한 수준으로 취약점을 찾고 익스플로잇하는 모델 — 을 보여준다면, 이 리포트는 위협 행위자가 오늘날 일반에 공개된 모델을 어떻게 오용하는지를 말해 준다. 또한 이는 위협 행위자가 가까운 미래에 점점 더 유능해지는 모델을 어떻게 오용할지를 가늠하는 안내서 역할도 하며, 방어자에게 그들보다 앞설 기회를 준다.

이 분석과 다른 분석에서 배운 것은 우리가 그러한 오용을 막기 위해 Claude를 만드는 방식에 직접 반영된다. 예를 들어 우리는 가장 고위험인 행위자를 탐지하도록 Claude에 내장된 분류기를 업데이트했고, 이 분석이 드러낸 고위험 행동 지표를 포괄하도록 프로브 탐지를 확장했다. 이 발견들은, 저위험과 고위험 행위자를 가르는 선이 더 이상 기술 실력이 아니라 오케스트레이션인 풍경 — 그리고 방어·탐지, 그리고 우리 모두가 의존하는 공용 프레임워크가 그것이 묘사하는 공격만큼 빠르게 진화해야 하는 풍경 — 을 가리킨다.

데이터셋에 관하여

이 리포트의 발견은 Anthropic이 2025년 3월~2026년 3월 사이 이용 정책의 사이버 관련 조항 위반으로 차단한 832개 계정에서 도출됐다. 우리는 자동화된 안전장치와 위협 인텔리전스 팀의 조사를 결합해 이 계정들을 식별했다. 각 계정에 대해 관측된 활동의 요약을 만들었다. 그런 다음 그 요약에 기술된 전술·기법·절차(TTP)를 추출해, 당시 운영 중이던 버전의 MITRE ATT&CK 프레임워크(V18)에 매핑했다. 전체적으로 우리는 482개 고유 기법과 14개 ATT&CK 전술 전부에 걸쳐 13,873건의 행동을 관측했다.

우리는 각 행위자에게 AI 위험 조장 점수(AI Risk Enablement Score, ARiES)라 부르는 새 방법론(아래 설명)에 기반해 0~100점의 위험 점수를 부여했다(0이 최저, 100이 최고). 데이터는 익명화해 이후 분석에서 행위자를 식별할 수 없게 했다.

LLM ATT&CK Navigator와 ARiES 위험 점수

이 분석의 일부로 우리는 LLM ATT&CK Navigator를 개발했다: 관측된 AI 기반 오용 패턴을 MITRE ATT&CK 프레임워크에 매핑하고 행위자에게 ARiES 위험 점수를 부여하는 인터랙티브 프레임워크다. ARiES는 세 신호로 구성된 복합 점수다 — 행위자의 위협 프로필, 요청된 피해에 대한 모델의 기여도, 그리고 관측되거나 잠재된 임팩트. 이는 Claude.ai, Claude Code, 우리 API 전반의 행위자 활동을 토대로, 우리 안전 분류기와 오픈소스·내부 위협 인텔리전스 지표를 함께 활용해 계산된다. 점수가 높을수록 그 AI 기반 행위자는 더 고위험이다.

우리 프레임워크는 개별 기법과 계정 모두를 세 차원에서 점수화한다:

  • 위협(Threat, 0~35점): 행위자 의도의 명확성, 기술적 정교함, 위협 인텔리전스 신호, 탐지 회피를 위해 계정이 쓴 전술을 평가한다. 기술적 정교함은 행위자의 프롬프트와 도구 사용을 근거로 Claude가 채점하며, 요구되는 전문성·운영자 실력·맞춤형 대 범용 툴링·역량 깊이를 측정한다.

  • 취약성(Vulnerability, 0~35점): 요청된 피해를 가능케 하는 모델의 역량과, 사용된 인터페이스의 위험 프로필을 평가한다. 프로그래밍 방식 인터페이스(즉 API)와 Claude Code 같은 에이전트형 코딩 도구는 행동을 자동화할 잠재력 때문에 가장 높게 채점된다.

  • 임팩트(Impact, 0~30점): 우리 안전 분류기가 부여한 점수와, AI 관여에 귀속되는 실제·잠재 결과에 대한 조사관 평가를 통해 사용자 행동의 실세계 영향을 포착한다.

이 구성요소들이 합쳐져 0~100점의 총 위험 점수를 만들고, 이를 통해 위협 행위자와 기법을 저·중·고·심각(critical) 위험 등급으로 분류한다.

점수 공식에 관한 메모

전통적 사이버 위험 방정식은 위험을 위협 × 취약성 × 임팩트 — 가상의 공격이 성공할 가능성을 반영하는 곱셈 모델 — 로 표현한다. 이 모델에서는 어느 한 요소가 0이면 전체 위험이 0으로 무너진다. 빠진 재료가 하나라도 있으면 공격이 성공하지 못한다는 뜻이기 때문이다.

우리 모델은 곱셈이 아니라 의도적으로 덧셈을 쓴다. "어떤 AI 관여 행위자와 기법이 방어자의 가장 큰 주목을 받을 만한가?"라는 질문에 답하기 위해서다. 우리는 한 차원이 부재하거나 불분명할 때에도 의미를 유지하는 점수를 원했는데, 곱셈 모델은 이를 허용하지 않는다. 다음 시나리오를 보라.

높은 역량과 결과, 그러나 명확한 의도 없음. 에이전트형 코딩 도구를 실험하다가 무심코 웜처럼 퍼지는 익스플로잇 같은 작동하는 공격 역량을 만들어낸 미숙한 사용자를 상상해 보라. 의도는 사실상 0이므로 곱셈 점수는 이를 위험 없음으로 기록할 것이다. 그러나 실제로 모델은 잠재적 공격에 상당한 상승효과(uplift)를 제공했고, 그 상호작용은 추가 안전장치를 배치할 수 있도록 수면 위로 드러낼 가치가 충분하다.

명확한 의도와 역량, 그러나 식별된 피해자 없음. 이제 명백한 악의를 가지고 Claude를 오용해 작동하는 멀웨어를 개발했지만, 배포나 하류 임팩트의 증거는 — 아직 — 없는 행위자를 생각해 보라. 곱셈 모델은 또다시 '임팩트' 차원에서 점수를 0으로 만들 것이다 — 적이 모델을 써서 유해한 소프트웨어를 성공적으로 개발했다는 AI 조장 신호야말로 우리 탐지 시스템이 일찍 잡아내길 바라는 바로 그것인데도.

이와 대조적으로, 우리 덧셈 모델은 각 차원의 신호를 독립적으로 보존해, 부분적인 공격-조장 패턴이 계속 보이게 한다. 그 대가로, 우리 점수는 공격의 성공 여부에 대한 예측이 아니다. 오히려 그것은 한 AI 관여 오용 사례가 얼마나 우려스러운지의 척도다. 아래에서 논하듯, 우리는 이 점수를 ATT&CK 프레임워크의 어느 부분이 가장 우려스러운지 보는 데에도 쓸 수 있고, 이를 고위험 행위자가 활동하는 지점과 상관 지을 수 있다.

오늘날 사이버 위협 행위자는 AI를 어떻게 쓰는가

관측된 기법 13,873건에 대한 우리 실증 분석은, 적들이 공격 생애주기 전반에서 AI를 어떻게 쓰는지, 그리고 오늘날 모델이 가장 흔히 쓰이는 기법이 무엇인지에 관한 분명한 패턴을 드러낸다.

AI 보조 역량 개발

우리가 관측한 가장 흔한 기법군은 ATT&CK ID T1587(역량 개발, Develop Capabilities)로, 분석 대상 832개 행위자 중 574개(69%)가 썼다. 이 행동의 대부분은 T1587.001(멀웨어 개발)로 나타나며 560개 행위자가 썼다. 실제로 우리는 위협 행위자가 모델을 오용해 실행할 커스텀 스크립트를 빌드·개선하고, 구현 방법에 대한 상세 안내와 함께 DLL 인젝션 코드를 작성하며, 캔버스 핑거프린팅 회피와 자동 계정 관리까지 하는 것을 관측한다.

그다음으로 흔한 기법은 T1027(난독화된 파일·정보) 64.7%, T1005(로컬 시스템의 데이터) 55.9%, T1562(방어 약화) 54.9%다. 이 상위 기법들을 종합하면, 위협 행위자는 LLM의 도움을 가장 흔히 교전 전 공격 툴링을 만들고, 그 도구를 탐지하기 어렵게 하며, 침해 시스템에서 데이터를 수확하는 데 쓴다.

반면 행위자들은 표적 네트워크에 일단 들어간 뒤의 실시간·적응적 의사결정에는 LLM을 훨씬 덜 쓴다. 예컨대 832개 행위자 중 54개(6.5%)만이 측면 이동에 모델을 쓰고, RDP·SSH·SMB 같은 원격 서비스에 모델을 쓰는 행위자는 12개 미만이다. 권한 상승·임팩트 단계에 LLM을 쓰는 행위자는 22.5%뿐이다.

실제 사이버 공격의 단골인 일부 기법군 — 액티브 디렉터리 익스플로잇, Kerberos 티켓 공격, 클라우드 인프라 조작(AWS, Azure, GCP), 컨테이너 탈출 — 은 데이터셋 내 비중이 눈에 띄게 낮다.

상위 기법들과 행위자들이 그것을 쓴 빈도는 우리가 연구한 1년 동안 크게 바뀌지 않았다. 전반부·후반부 모두에서 모델이 쓰인 기법 수의 중앙값은 16이다. 후반부에 우리는 미묘한 방향성 이동을 관측한다 — 위협 행위자가 독립형 멀웨어나 난독화 스크립트를 만드는 데는 모델을 덜 쓰고, 사이버 공격의 특정 작전 단계, 그리고 표적 내 탐색·수집 기법에 더 쓰는 쪽으로. 구체적으로 우리는 T1087(계정 탐색) 발생 8.9% 증가, T1020(자동 탈취) 6.2% 증가를, 그와 함께 T1587(역량 개발) 12% 감소와 T1566(피싱) 8.6% 감소를 관측한다.

AI 보조 회피 전술

방어 회피(defense evasion)는 데이터셋에서 단일 최대 전술 범주로, 우리가 연구한 행위자의 84.4% 행동에 존재한다. MITRE는 '방어 회피' 아래 64개 기법을 정의하는데(엔터프라이즈·모바일 프레임워크 합산), 우리는 그중 32개를 데이터셋에서 관측한다(엔터프라이즈 25개, 모바일 7개).

이 전술 내 상위 기법은 다음과 같다:

  • T1027(난독화된 파일·정보). 표본 내 위협 행위자의 64.7%가 AI를 써서 XOR/base64 인코딩, 다형성 변종, 안티탐지 래퍼 같은 기법을 구현해 시그니처 기반 탐지를 회피했다.

  • T1562(방어 약화). 연구된 위협 행위자의 54.8%가 AI를 써서 엔드포인트 보안 도구를 우회·비활성화·변조했다.

  • T1055(프로세스 인젝션). 행위자의 30.3%가 AI를 써서 정상 프로세스에 주입될 수 있는 악성 코드(프로세스 할로잉, DLL 인젝션 등)를 작성해, 신뢰된 프로세스 메모리에서 페이로드를 실행했다.

덜 쓰이는 전술로는 임팩트(2.8%), 탈취(2.8%), 권한 상승(2.4%), 측면 이동(0.7%)이 있다. 이들을 합쳐도 전체 관측의 8.7%에 불과하다 — 방어 회피 하나보다도 적다. 이 행동들은 모두 공격 생애주기의 후반부에 일어나며, 이는 위협 행위자가 공격 초기 단계에는 모델을 더 쓰고 후반 단계 — 즉 네트워크에 침투해 라이브 환경 조건에 적응하는 시점 — 에는 덜 쓴다는 것을 시사한다. 이 패턴은 우리가 연구한 1년 내내 안정적이었다.

고위험 행위자와 그들의 전술

측면 이동 같은 전술은 데이터셋에서 훨씬 덜 흔하지만, 가장 높은 ARiES 위험 점수와 강하게 상관된다 — 즉 가장 고위험인 행위자가 사이버 공격의 후반 단계에 모델을 쓸 가능성이 가장 높다는 뜻이다. AI를 측면 이동에 쓰는 행위자는 그렇게 쓰지 않는 행위자보다 위험 점수가 평균 10.5점 높다. 이는 AI를 공격 준비에 쓰는 데서 라이브 네트워크 작전에서 행동하는 데 쓰는 쪽으로 넘어가는 것이 높은 AI 조장의 핵심 표지임을 시사한다.

전반적으로, 가장 높은 위험 점수의 행위자들은 원격 서비스, 자격증명 덤핑, 웹셸 배치, 내부 네트워크·계정 탐색 같은 침투 후(post-compromise)·키보드에 손을 올린(hands-on-keyboard) 기법에 AI를 가장 많이 썼다. 측면 이동이 고위험 행위자의 가장 강력한 표지였다: 측면 이동을 쓴 54개 행위자의 평균 위험 점수는 56.4로, 전체 평균 46.8보다 거의 10점 높다. 그만한 예측력을 가진 기법은 그 외에 없었다.

기법 수준에서, 가장 고위험인 행위자들이 가장 흔히 쓴 기법은 T1021(원격 서비스: SSH/SMB), T1078.003(유효 계정), T1003(OS 자격증명 덤핑), T1560(수집 데이터 아카이브), T1505.003(웹셸)이었다. 이들은 모두 전체 집단 대비 고위험 행위자에서 3~5배 더 흔했다.

한편 가장 편재하는 전술(방어 회피, 자원 개발 등)과 범용 기법(자격증명 스터핑, 스피어피싱 등)은 최고위험·최저위험 행위자 모두에서 거의 같은 빈도로 쓰였는데, 이런 전술이 워낙 흔하다는 점을 생각하면 놀랍지 않다. 종합하면, 데이터는 대다수 위협 행위자가 공격 준비 단계에서 악성 코드 같은 산출물을 만드는 데 AI를 쓰는 반면, 가장 고위험인 행위자는 준비 단계와 침해 네트워크 내부의 직접 작업 모두에 모델을 쓴다는 것을 시사한다.

우리는 또한 위협 인텔리전스 팀이 행위자를 평가할 때 흔히 기대는 속성 — 평가된 기술 실력, 인터페이스 선택, 사용 기법 수 — 이 한 위협 행위자에게 AI 모델이 얼마나 상승효과를 줄지에 대한 약한 예측 변수임을 발견했다. 기술적 정교함은, 순환성을 피하기 위해 복합 점수에서 제거했을 때, 나머지 위험 구성요소와 겨우 r = 0.28로 상관된다. 실제로 이 특성을 통째로 제거해도 상위 6개 행위자의 순위는 동일하게 유지된다(832개 전체에 걸쳐 Spearman ρ = 0.96). 고위험 꼬리(tail)는 기술적 정교함 구성요소의 산물이 아니다.

기법 커버리지의 폭과 위험 점수의 상관도 약한 양의 값(r = 0.27)에 불과하다. 대다수 행위자는 모델을 소수 기법에 쓴다 — 실제로 데이터셋 중앙값 행위자는 16개의 고유 MITRE ATT&CK 기법을 썼는데, 이는 5년 전이라면 잘 갖춰지고 기술적으로 성숙한 작전을 시사했을 폭이다.

끝으로, 인터페이스 선택도 비슷한 이야기를 한다 — 이 연구의 행위자 80%가 Claude Code를 오용했고, 이는 에이전트형 툴링을 구분점이 아니라 기본 접근 방식으로 만든다. 그리고 대화형 인터페이스, API, 에이전트형 코딩 도구로 제한된 행위자들은 통계적으로 구별 불가능한 위험 프로필로 수렴한다.

이것이 우리에게 말해 주는 바: AI에서 가장 큰 상승효과를 얻는 악성 행위자는 반드시 다른 행위자보다 기술적으로 더 정교하지도 않고, 반드시 코딩 도구를 쓰거나 킬체인의 여러 단계에 걸쳐 Claude를 쓰지도 않는다. 그저 더 직접적인(hands-on) 기법에 Claude를 썼을 뿐이다.

부상하는 '라이브 익스플로잇' 행위자

앞서 논했듯, 중위험 이상으로 채점된 행위자 비율은 연구 전반부 6개월의 약 33.5%에서 후반부의 약 56.1%로 — 1년이 채 안 되어 1.7배 — 늘었다. 그 코호트는 두 기간 사이에 약 22.6%포인트 이동했다: 전반부에는 대다수 행위자가 저위험 점수였던 반면, 후반부에는 대다수가 중위험 점수였다.

향상된 위협 탐지 기법이 이 증가에 기여했을 수도 있지만, 우리는 또한 점점 더 많은 행위자가 예전에는 훨씬 작은 고위험 코호트에서만 나타나던 더 작전적인 네트워크 내부 작업을 모델에게 요청하는 것을 본다. 연구 후반부 6개월에, 우리는 더 전문화된 행위자가 익스플로잇 툴링, C2 인프라, 원격 접근 트로이목마(RAT)를 만드는 데 모델을 쓰는 것을 봤지만 — 동시에 더 많은 저·중간 실력 행위자가 준비 작업만이 아니라 라이브 작전에도 모델을 쓰는 것을 봤다. 우리가 전반부에서 후반부로 관측한 T1087(계정 탐색) 8.9% 증가와 T1020(자동 탈취) 6.2% 증가가 이와 일치한다: 더 빈번해지는 기법은 행위자가 이미 네트워크에 접근했음을 함의하는 것들이다.

이것이 방어자에게 의미하는 바: AI 기반 행위자 집단은 늘어날 뿐 아니라, 행위자 자신이 더 숙련될 필요 없이도 우리 프레임워크상 가장 위험한 활동 쪽으로 표류하고 있다. 이 추세가 계속되면 이 작전적 기법들은 더 이상 구분 요인이 아니게 되고 내일의 기준선이 될 것이다 — 그러면 우리는 가장 위험한 행위자를 측정할 새로운 방법을 찾아야 한다. 다음 절에서 앞으로 이를 어떻게 할 수 있을지 논한다.

AI 에이전트 시대의 새로움과 정교함

가장 고위험인 위협 행위자들을 들여다보면, AI 기반 사이버 작전의 위험을 공격 기법의 수·유형·폭으로 계산하는 것이 불충분하다는 점도 분명해진다. 우리는 또한 위협 행위자가 이 기법들을 라이브 작전에서 쓰기 위해 엮을 수 있는 스캐폴딩 — 사람 개입 없이 AI 모델로 사이버 공격의 큰 부분을 자율 실행하게 해 주는 것 — 을 이해할 방법이 필요하다.

우리가 2025년 11월에 보고한 AI 기반 사이버 첩보 작전을 오케스트레이션한 위협 행위자(라벨 GTG-1002)의 행동을 분석하면, 이 행위자가 가능한 최고 위험 점수 100점을 달성했고, 여러 나라의 정부·핵심 인프라 표적을 성공적으로 침해했으며, Claude Code를 조언자가 아니라 자율 운영자로 쓰는 스캐폴딩을 개발했음을 보게 된다. 그런데 그들의 전체 MITRE 프로필 — 13개 전술에 걸친 30개 기법 — 은 이 데이터셋의 수십 개 중위험 행위자와 비슷하다. 중앙값 행위자는 16개 기법을 쓰고, 일부 저위험 행위자도 30개를 넘는다. 다시 말해, 기법 수나 전술 유형만으로는 무엇이 GTG-1002를 우리가 지금껏 관측한 가장 고위험 행위자로 만들었는지 설명할 수 없었다.

이 행위자의 높은 위험 점수를 설명하는 것은 그들이 쓴 점점 더 에이전트적인 구성요소들이다: 그들이 목표 달성을 위해 어떻게 기법을 오케스트레이션하고 엮을 수 있었는가. GTG-1002는 Kali Linux 머신에서 돌아가는 Claude Code를 무기화해, 오픈소스 침투 테스트 도구를 MCP(Model Context Protocol) 서버로 통합했다 — 사실상 AI를 코드 작성 보조가 아니라 자율 공격 플랫폼으로 바꾼 것이다. AI는 명령을 제안하거나 공격 스크립트를 생성하는 데 그치지 않았다. 그것을 실행했고, 공격 환경에 관해 자율적으로 추론했다. 그들의 '에이전트성'의 일부 징후는 우리가 추적하는 기법 유형을 통해 간접적으로 드러난다. GTG-1002는 T1021.004(원격 서비스: SSH), T1210(원격 서비스 익스플로잇), T1560(수집 데이터 아카이브) 같은 작전적 기법을 썼다. 그러나 주된 구분점은 다음이었다:

  • 단계 내 자율 실행: GTG-1002는 Kali 머신에서 돌아가는 Claude Code를 배치해 수십 개의 MCP 도구 작업을 자율로 오케스트레이션했다 — 정찰 단계에서 인터넷에 노출된 수십 개 서비스를 스캔·매핑하고, 네트워크 내부에 들어간 뒤 내부 관리자 포털, 데이터베이스, 로깅 서버, 시간 기반 워크플로 시스템을 탐색했다. AI는 명령을 제안만 하지 않았다. 그것을 실행했고, 운영자 입력을 기다리지 않고 다음에 무엇을 탐색할지 전술적 결정을 내렸다.

  • 라이브 익스플로잇과 피벗: GTG-1002의 스캐폴딩 안에서 작동하며, AI는 공개 웹 서버의 SSRF 취약점을 익스플로잇해 내부 클라우드 환경으로 명령을 프록시했고, 내부 인프라에서 SSH 개인 키를, 클라우드 메타데이터 서비스와 AWS Secrets Manager에서 서비스 계정 토큰을 수확했으며, 수확한 자격증명으로 피해자의 클라우드 환경 전반을 측면 이동했다. 이것들은 우리 데이터셋에서 더 드물었던 작전 단계들(탐색 → 자격증명 접근 → 측면 이동)이다.

  • 인간의 의도, AI의 실행: GTG-1002는 전략적 방향을 제시했고 AI가 전술적 구현을 처리했다. AI는 정찰과 내부 탐색 동안 자율적으로 작동했고, 컨테이너 이미지 서명 워크플로나 서비스 계정 ID 같은 예상치 못한 인프라를 만나면 접근법을 조정했으며, 수만 건의 독점 워크플로 기록과 내부 아키텍처 문서를 탈취용으로 스테이징·압축했다. 최종 데이터 추출 — curl MCP 도구 호출로 공격자 머신에 다운로드 — 은 사람이 지시했는데, 이는 운영자가 작전 작업은 AI에 위임하면서도 중대한 결정에 대한 통제는 유지했음을 시사한다.

GTG-1002의 활동은 AI 에이전트를 써서 사이버 공격 생애주기의 여러 단계 — 정찰, 익스플로잇, 측면 이동, 탈취 — 를 하나의 일관된 작전으로 자율 연결하고, 무엇을 하고 어떤 데이터를 수집할지 실시간 결정을 내렸다는 점에서 새로웠다. 이것이 기법-빈도 표가 포착할 수 없는 AI 조장 상승효과의 차원이며, 에이전트형 툴링이 성숙할수록 가장 중요해지리라 예상하는 차원이다.

우리는 Navigator를 안전장치에 어떻게 활용하는가

이 리포트의 발견은 우리가 AI 기반 사이버 오용을 탐지·조사·교란하는 방식을 형성했다.

첫째, 우리 위험 점수는 가장 고위험인 행위자가 늘 가장 시끄럽거나 가장 다작인 것은 아님을 보여준다 — 그들은 흔히 쓰는 기법의 유형·양 면에서 평범해 보이며, 대신 자신의 AI를 어떻게 오케스트레이션해 사이버 작전 전체를 수행하느냐로 구별된다. 우리는 이에 맞춰 탐지 시스템을 업데이트하고 있으며, 높은 ARiES 점수와 상관되는 기법을 잡도록 분류기와 프로브를 확장하고 있다. 우리는 또한 다단계 자율 실행, AI 주도 피벗 결정, MCP 서버 등 인터페이스를 통한 도구 증강 작전처럼 MITRE에 깔끔히 매핑되지 않는 에이전트형 오용 패턴에 대한 탐지 신호도 개발하고 있다.

둘째, 우리는 가장 유능한 모델에 실시간 사이버 안전장치를 도입해, 금지된 활동(랜섬웨어 개발, 대량 데이터 탈취 등)을 요청 수준에서 자동 탐지·차단한다. 또한 우리는 이제 더 높은 위험의 이중용도(dual-use) 활동 — 공격자와 방어자 모두 수행할 수 있는 활동 — 을 우리 사이버 검증 프로그램(CVP)을 통해 라우팅하며, 이를 통해 방어 실무자가 자신의 일에 우리 모델을 계속 쓸 수 있게 한다.

셋째, Project Glasswing을 통해 우리는 가장 유능한 모델을 더 넓은 대중에 공개하기 전에 그 공격적 사이버 역량을 연구한다 — 위협 행위자가 활용하기 전에 AI 사이버 역량이 어디로 향하는지 이해하고, 그러한 오용이 일어나기 전에 안전장치를 설계하기 위해서다.

끝으로, 2026 데이터 유출 조사 보고서에서의 Verizon 협업에 이어, 우리는 이제 ATT&CK 프레임워크가 이 분석에서 관측한 AI-네이티브 작전 행동을 담도록 어떻게 진화할 수 있을지 MITRE와 적극 논의하고 있다. 우리는 또한 위협 행위자가 쓴 기술 지표·TTP·조사 결과를 정부·산업 파트너와 지속적으로 공유한다.

MITRE ATT&CK의 새 시대

가장 위험한 행위자들은 이제 공격을 가능케 하는 도구를 단순히 만드는 것이 아니라 AI를 써서 공격을 오케스트레이션하고 있고, 위협 조사관이 위협을 추적하는 데 쓰는 프레임워크는 아직 따라잡지 못했다. 행위자가 기술적으로 정교하리라는 데 기대는 전통적 프레임워크는, 저실력 행위자가 전문가급 하네스를 만들고 명령하고 운영할 수 있게 되면 실패할 것이다.

1년간 이 활동을 지도화하며, 그리고 Verizon과의 작업에서 얻은 분명한 교훈 하나는, 우리가 공용 위협 어휘를 확장해야 한다는 것이다. MITRE ATT&CK는 행위자가 실행하는 개별 기법을 포착하지만, 가장 고위험인 행위자를 남들과 구분 짓는 행동 — 킬체인 전체의 에이전트형 오케스트레이션, 또는 표적의 자율적 선택 같은 것 — 은 아직 이 분류 체계에 담겨 있지 않다.

우리는 다음 단계가, 여러 기법을 엮는 에이전트적·자율적·의사결정적 행동을 위협 조사관이 식별하도록 돕는 새 횡단(cross-cutting) 범주를 ATT&CK 프레임워크에 추가하는 것이라고 본다. 이는 적들이 야생에서 AI 도구를 쓰는 방식에 보조를 맞추는 어휘를 방어자에게 줄 것이다.

동시에, 방어자도 공격자와 같은 정교함과 긴급함으로 AI를 써야 하고, 조직 간에 위협 인텔리전스를 공유해야 하며, 소프트웨어 취약점을 식별하고 패치하기까지의 시간을 줄여야 한다는 것이 분명하다. 산업으로서 우리는 안전하지 않은 코드에 훨씬 덜 관대해져야 한다. 이 전환기는 어려울 것이다. 그러나 산업·정부·시민사회가 지금 이 순간을 마땅한 긴급함으로 다룬다면, 우리는 유능한 AI 시스템이 장기적으로 공격자보다 방어자에게 더 이득이 되리라 믿는다 — 새 코드가 출시되기 전에 버그를 찾고, 사회가 의존하는 시스템을 더 안전하게 만들면서. 그 결과는 더 잘 방어된 인프라, 그리고 사기·오용이 실질적으로 더 적은 디지털 환경일 수 있다. 우리는 위협 지형이 진화함에 따라 배운 것을 계속 공개할 것이다.