AI 사이버 위협 1년을 ATT&CK에 매핑한 리포트를 읽고
Anthropic의 Frontier Red Team이 1년간(2025.3~2026.3) 악성 사이버 활동으로 차단한 832개 계정을 MITRE ATT&CK에 매핑한 리포트를 냈어요(일부는 Verizon 2026 DBIR에도 실렸고요). 요점은 AI가 새로운 공격 기법을 만든 건 아니고, 원래 실력이 부족해서 못 하던 공격을 실력 없이도 할 수 있게 만들었다는 거예요. Claude Code로 매일 뭔가를 빌드하는 입장에서 가장 와닿은 내용 세 가지를 정리해 볼게요.
들어가기 전에 — 용어 짚기
MITRE ATT&CK + 위험 점수(ARiES) — MITRE ATT&CK는 실제 공격에서 관찰된 공격자의 전술(무엇을 노리나)과 기법(어떻게 하나)을 표로 정리한 보안 업계 공용 분류 체계예요. ARiES는 Anthropic이 행위자 위험을 0~100으로 매기는 자체 점수로, 행위자의 위협 프로필, 요청한 피해에 모델이 기여한 정도, 관찰됐거나 예상되는 영향 세 가지를 합쳐 계산해요. 쓴 기법 수로 정해지는 점수가 아니라서, ATT&CK 기준으로는 기법 30개(중위험처럼 보이는)인 공격이 100점 만점을 받을 수 있어요.
측면 이동 (lateral movement) — 공격자가 한 시스템에 침투한 뒤 그 네트워크 내부를 옮겨 다니며 더 많은 시스템을 장악하는 '침투 후(post-compromise)' 단계예요. 실제 환경 안에서 그때그때 판단하며 진행해야 하는 작업이고, 이 리포트에서 고위험 행위자를 구분하는 가장 강한 신호로 나와요.
MCP (Model Context Protocol) — 외부 도구를 AI 모델에 표준 방식으로 연결해서, 모델이 그 도구를 직접 호출하고 실행하게 하는 프로토콜이에요. 코드 어시스트를 '자율 실행 플랫폼'으로 만들 수 있게 해 주는 부분이에요. 이 리포트에서 가장 위험했던 행위자가 침투 도구들을 MCP로 연결해 Claude Code를 자율 공격 플랫폼으로 만든 게 그 예예요.
인사이트 1: 실력이 부족한 행위자도 전문가급 공격을 할 수 있게 됐어요
행위자가 기술적으로 정교하리라는 데 기대는 전통적 프레임워크는, 저실력 행위자가 전문가급 하네스를 만들고 명령하고 운영할 수 있게 되면 실패할 거예요.
리포트는 결론에서 가장 위험한 행위자를 가르는 건 실력보다 AI를 어떻게 오케스트레이션하느냐라고 말해요. 그 바탕에 있는 사실은 도구 덕분에 공격에 필요한 실력의 기준이 크게 낮아졌다는 거예요. 저실력 행위자도 전문가급 작업을 실행해요.
제 경우는 개발 쪽인데, 저도 비슷한 일을 하고 있어서 너무 맞는 말이라고 느꼈어요. Rust를 배워 본 적도 써 본 적도 없는데 AI로 쓸 만한 오픈소스를 만들어 배포하고, 유지보수가 멈춘 프로젝트도 되살려서 출시하고 있거든요. 잘 모르는 영역까지 개발하고 있는 셈이에요.
인사이트 2: 흔한 작업은 누구나 AI로 해요. 차이는 드문 작업에서 나와요
측면 이동이 고위험 행위자를 가장 강하게 드러내는 표지였어요. 측면 이동을 쓴 54개 행위자의 평균 위험 점수는 56.4로, 전체 평균 46.8보다 10점 가까이 높았어요. 이만한 예측력을 가진 기법은 달리 없었어요.
가장 흔한 기법은 멀웨어 개발을 포함한 '능력 개발'(T1587)로, 행위자 832명 중 574명(69%)이 AI에 맡겼어요. 이런 '준비' 작업은 대부분이 하니까 위험도를 가르지 못해요. 반면 측면 이동은 54명(6.5%)만 AI에 맡겼는데, 실제 네트워크 안에서 상황을 보며 진행하는 '실전 운영'이라 고위험 신호가 돼요.
흔한 준비 작업에서는 차이가 안 나고 실전 운영에서 위험도가 갈린다는 걸 보니, AI는 어느 수준까지는 정말 빠르고 수준도 높지만 결국 전문지식을 가진 사람이 있어야 완성품이 된다는 느낌을 받네요. 조금은 반성하게 되는 게, 저도 claude code로 다양한 서비스와 오픈소스를 찍어냈거든요. 전문지식 공부도 틈틈이 해야겠다고 느꼈어요.
인사이트 3: GTG-1002 — Claude Code를 MCP로 묶어 '자율 공격 플랫폼'으로
GTG-1002는 Kali Linux 머신에서 돌아가는 Claude Code를 무기화해, 오픈소스 침투 테스트 도구를 MCP 서버로 통합했어요. 사실상 AI를 코드 작성 보조가 아니라 자율 공격 플랫폼으로 바꾼 거예요.
여기서 '스캐폴딩'은 모델 주위에서 단계를 자동으로 이어 주는 코드와 구조를 말해요. GTG-1002가 쓴 기법은 13개 전술에 걸친 30개로 중위험 행위자 수십 명과 비슷한 수준이었지만, 위험 점수는 만점 100점이었어요. 원문은 기법 수나 전술 종류만으로는 이 차이를 설명할 수 없다고 말해요. 차이를 만든 건 MCP로 도구를 연결해 단계를 자율로 이어 붙인 스캐폴딩이었어요.
공격을 이렇게까지 확장할 수 있다는 건 상상도 못 해 봤어요. 좀 섬뜩하면서도, Kali Linux에 다른 tool들을 MCP로 묶어서 자율 오케스트레이션하는 구조 자체는 정말 뛰어나다는 생각이 들어요. 저는 지금 claude code를 코드 어시스트로만 쓰는데, 같은 구조로 자율적으로 결정하는 플랫폼을 만들 수 있다는 걸 보고 앞으로 어떤 (제대로 된) 제품을 만들어 볼지 아이디어를 얻었어요.
그리고 이 모든 게 ATT&CK 표에는 기법 30개로만 기록돼요. 가장 위험한 '단계를 자율로 이어 붙이는' 행동에는 아직 ATT&CK ID가 없거든요. 원문은 이런 행동을 담을 새 범주를 ATT&CK에 더해야 한다고 제안해요.
