AI는 공격자에게 새 무기를 준 게 아니다: 위험이 사는 위치가 바뀌었다

reading the researchanthropicclaude

Anthropic의 Frontier Red Team이 2025년 3월~2026년 3월 사이 악성 사이버 활동으로 차단된 계정 832개를 분석해 MITRE ATT&CK에 매핑한 리포트를 냈다(일부는 Verizon의 2026 DBIR에도 수록). 핵심 메시지는 하나다 — AI는 새 공격 기법을 만든 게 아니라 위험이 사는 위치를 초기 침투에서 침투 이후로 옮겼다. 이 글에서는 보안 기초를 배운, 그리고 Claude Code를 매일 쓰는 개발자 시선으로 5개 인사이트를 정리한다.

들어가기 전에 — 용어 짚기

MITRE ATT&CK — 실제 공격에서 관찰된 공격자의 전술(tactic, '무엇을 노리나')과 기법(technique, '어떻게 하나')을 표로 정리한 보안 업계 공용 분류 체계다(ATT&CK = Adversarial Tactics, Techniques, and Common Knowledge). 방어자는 공격을 이 표에 매핑해 "어디까지 왔나"를 공통 언어로 말한다. 이 글의 핵심은, 그 표에 'AI가 단계를 자율로 엮는 행동'을 담을 칸이 아직 없다는 것이다.

킬체인(공격 생애주기) — 하나의 공격이 거치는 단계의 흐름. 크게 '초기 침투(시스템에 들어가기)'와 '침투 후(들어간 뒤 내부를 장악·이동·탈취)'로 나뉜다. 이 글이 말하는 "AI가 더 깊은 곳으로 내려갔다"는, AI 활용이 초기 침투에서 침투 후 단계로 옮겨 갔다는 뜻이다.

위험 스코어링(risk scoring) — Anthropic이 행위자의 위험도를 0~100으로 매기는 자체 방법론. '기법을 몇 개 썼나'가 아니라 '공격 생애주기의 어디에, 얼마나 자율적으로 AI를 적용했나'를 본다. 그래서 ATT&CK 기준 30개 기법(중위험처럼 보이는)인 공격이 위험 스코어링에선 만점 100점을 받을 수 있다.

인사이트 1: AI가 킬체인 더 깊은 곳으로 내려갔다

이런 '침투 후(post-compromise)' 기법은 원래 그것을 수행할 기술 지식을 가진 행위자에게만 제한돼 있었다. 우리 조사는 이제 AI가 덜 숙련된 행위자를 대신해 이 활동을 수행하도록 만들 수 있음을 보여준다.

수치도 같은 방향이다. 초기 침투 수단인 피싱의 AI 활용은 8.6% 줄어든 반면, 계정 탐색(침해 환경 내 유효 계정을 찾아내는 것)의 AI 활용은 8.9% 늘었다. 측면 이동(침투한 네트워크 내부를 옮겨 다니는 것)처럼 손 많이 가던 단계가 자동화되는 흐름이다.

공격이든 방어든 '실력의 바닥'이 AI로 올라가는 건 보안만의 일이 아니다. 모든 전문성이 같은 길을 걷는 신호로 읽힌다 — 공격자가 거기 먼저 도착했을 뿐.

인사이트 2: 위험도를 가늠하던 휴리스틱이 깨졌다

위협 행위자의 실력과 그가 쓰는 기법의 수 사이에는 상관이 거의 없다. 우리 데이터셋에서 가장 덜 숙련된 행위자는 평균 약 16개의 서로 다른 기법을 썼고, 가장 숙련된 쪽은 약 20개를 썼다. 마찬가지로 사용한 플랫폼 — Claude Code, API, 챗 인터페이스 — 도 행위자의 위험도와 상관이 없었다.

'기법을 많이·다양하게 쓰면 숙련된 행위자'라는 건 보안 기초에서 배우는 흔한 프로파일링 직관인데, 그게 무너진 셈이다.

기법 수·도구로 위험을 가리던 손쉬운 신호가 죽으면, 결국 더 고된 판단이 방어자 몫으로 남는다. 배운 입장에서 보면 그게 가장 피곤한 부분이다.

인사이트 3: 진짜 차별점은 모델이 아니라 그 주위의 '스캐폴딩'

더 지속적인 차별점은 공격자가 모델 주위에 짜는 스캐폴딩(scaffolding)의 유형이다. 더 위험한 행위자는 모델이 사이버 공격의 개별 단계를 엮어 사람 개입을 최소로 실행하게 하는 아키텍처를 설계한다.

여기서 '스캐폴딩'은 모델을 둘러싸고 단계를 자동으로 이어 주는 코드·구조를 말한다. 매일 에이전트로 작업을 엮는 입장에선 낯설지 않은 단어다.

모델이 아니라 모델 주위에 뭘 짜느냐가 갈림길이라면, 가치는 '쓰는 사람'보다 '설계하는 사람'에게 간다. 주니어로서 어디에 시간을 쌓을지가 한결 분명해졌다.

인사이트 4: MITRE ATT&CK엔 'agentic orchestration'을 담을 칸이 없다

앞서 짚은 ATT&CK 표 — 그런데 가장 위험한 행동에는 거기 들어갈 칸이 없다.

이를 MITRE ATT&CK 프레임워크에 매핑하면 해당 행위자가 13개 전술에 걸쳐 30개 기법을 썼음이 드러나는데, 이는 우리 데이터셋의 여러 중위험 행위자와 비슷한 수준이다. 분명히, 이 행위자가 쓴 기법의 '수'에 집중하는 것은 그가 실제로 얼마나 위험했는지를 과소평가한다(반면 우리 위험 스코어링을 적용하면 이 공격은 최고 점수인 100점을 받는다).

Anthropic이 2025년 11월 공개·교란한 국가배후 첩보 작전이 바로 그 사례다. 모델이 자율 에이전트처럼 명령을 실행하고 취약점을 익스플로잇하고 자격증명을 탈취하며 전술적 판단까지 내렸지만, 이런 '에이전트형 오케스트레이션'에 해당하는 ATT&CK ID는 아직 없다.

표준이 새 현실을 담는 데 걸리는 시간만큼이 그대로 공백이고 리스크다. 30개 기법에 위험 점수 100점이 그 증거다.

인사이트 5: '방어자 먼저'라는 자세

우리는 가장 강력한 모델에 사이버 안전장치를 개발·배포해, 여기서 드러난 활동 중 악성코드 개발이나 대량 데이터 유출 같은 일부를 탐지·차단한다. Verizon과의 작업에 이어, 우리는 또한 MITRE와 ATT&CK 프레임워크가 우리가 관찰한 AI 기반 행동을 포함하도록 어떻게 진화할 수 있을지 논의하고 있다.

안전장치도 MITRE 협업도 방향은 옳다. 다만 발표는 발표고, 실제 차단율·오탐 같은 데이터가 나와야 평가할 수 있다고 본다.

AI는 공격의 '무엇'이 아니라 '어디'를 바꿨다. 위험이 옮겨간 자리를, 우리의 지도(프레임워크)와 직관은 아직 따라잡지 못했다.

원문 전문 번역 (참고용)

원문: What we learned mapping a year's worth of AI-enabled cyber threats — Anthropic

우리가 1년치 AI 기반 사이버 위협을 지도화하며 배운 것

2026년 6월 3일

AI가 사이버 공격의 성격과 방법을 바꾸는 가운데, 보안 커뮤니티가 쓰는 기법과 프레임워크는 얼마나 잘 버티고 있을까?

새 리포트에서 우리는 그 질문에 답하고자 한다. 우리는 2025년 3월부터 2026년 3월 사이 악성 사이버 활동으로 차단된 832개 계정을 살펴, 사이버 공격자가 쓰는 전술과 기법을 오래도록 정리해 온 데이터베이스인 MITRE ATT&CK에 매핑했다. 이 결과 일부는 Verizon의 2026 데이터 유출 조사 보고서(DBIR)에 실었고, 더 자세한 분석을 여기서 공유한다. 이 832건은 해당 기간에 차단된 전체 계정의 일부일 뿐이지만, 공격자의 기법을 철저히 평가할 만큼 충분한 정보가 있었던 사례들이다.

분석에서 세 가지 주요 결론이 나왔다.

  1. 악성 행위자들은 자신을 더 위험하게 만드는 방식으로 AI를 쓰고 있다. 더 구체적으로, 위협 행위자들은 사이버 작전의 더 후반부, 더 복잡한 단계에서 AI를 쓰고 있다.
  2. 사이버 공격이 더 자율적으로 변하고 있으며, AI가 공격의 여러 부분을 엮을 수 있다는 사실은 고위험 행위자와 저위험 행위자를 가르던 옛 방식이 더는 효과적이지 않게 만든다.
  3. MITRE ATT&CK 프레임워크는 AI 기반 공격자를 그토록 위험하게 만드는 도구와 활동을 온전히 담아내지 못한다.

아래에서 각 결론을 요약한다. 더 긴 분석은 우리 Frontier Red Team 블로그에서 읽을 수 있다.

AI가 공격자를 더 위험하게 만드는 방식

우리 데이터베이스에서 가장 흔한 AI 기반 활동은 사이버 공격을 준비하는 일, 예컨대 악성코드 작성과 관련됐다(우리가 살핀 832개 계정 중 560개, 즉 67.3%가 이 목적으로 AI를 썼다). 더 적은 수의 행위자는 더 복잡한 활동에 AI를 쓴다 — 예를 들어 832명 중 54명(6.5%)은 침해된 네트워크 깊숙이 이동하는 '측면 이동'을 돕는 데 AI를 활용했다.

우리는 AI가 공격자의 위협 수준을 높이는 데 쓰인다는 것과 일치하는 증거를 발견했다. 분석의 첫 6개월 구간에서는 행위자의 33%가 우리 위험 스코어링 시스템에 의해 중위험 이상으로 분류됐다. 그러나 두 번째 6개월 구간에는 그 비율이 56%로 뛰었다 — 약 1.7배 증가다.

우리가 살핀 기간 내내, 공격자의 AI 활용은 시스템에 대한 초기 접근을 얻는 기법에서, 시스템 내부에 들어간 뒤 수행하는 활동 쪽으로 옮겨 갔다. 예를 들어 침해된 환경 내 유효 계정을 식별하는 계정 탐색에 AI를 쓰는 비율은 8.9% 늘었고, 시스템 접근을 얻는 흔한 기법인 AI 보조 피싱은 8.6% 줄었다. 이는 공격자들이 공격 생애주기의 더 깊은 곳에 점점 더 AI를 적용하고 있음을 시사한다.

이런 '침투 후' 기법은 예전에는 그것을 수행할 기술 지식을 가진 행위자에게만 제한돼 있었다. 우리 조사는 이제 AI가 덜 숙련된 행위자를 대신해 이 활동을 수행하도록 만들 수 있음을 보여준다.

행위자의 위협 수준을 평가하기가 더 어려워진 이유

보안팀은 사이버 공격자의 위험 수준을 어떻게 평가할까? 전통적으로 그들은 공격자가 얼마나 다양한 기법을 쓰는지, 어떤 도구나 인터페이스를 쓰는지 같은 정보를 활용했다. 그러나 우리 분석은 이런 신호가 더는 특정 위협 행위자의 위험 수준을 정확히 그려 내지 못함을 시사한다.

이제 AI가 행위자를 대신해 고도로 기술적인 작업을 수행할 수 있게 되면서, 위협 행위자의 실력과 그가 쓰는 기법의 수 사이에는 상관이 거의 없다. 우리 데이터셋에서 가장 덜 숙련된 행위자는 평균 약 16개의 서로 다른 기법을 썼고, 가장 숙련된 쪽은 약 20개를 썼다. 마찬가지로 사용한 특정 플랫폼 — Claude Code, API, 챗 인터페이스 — 도 행위자의 위험도와 상관이 없었다.

더 위험한 행위자를 구분하는 데 종종 도움이 되는 것은, 그들이 공격 생애주기의 어디에서 AI를 적용하느냐다. 예를 들어 그들은 초기 접근을 얻게 해 주는 작업만이 아니라, 계정 탐색·측면 이동·권한 상승처럼 상당한 시간·감독·실시간 의사결정을 요하는, 운영적으로 더 까다로운 기법에 AI를 집중한다.

그러나 그 신호조차 이미 침식되고 있다. 앞 절에서 논했듯, 더 많은 행위자가 고위험으로 분류되면서 바로 그 운영적 기법이야말로 더 넓은 집단이 향하는 곳이기 때문이다. 더 지속적인 차별점은 공격자가 모델 주위에 짜는 스캐폴딩의 유형이다. 더 위험한 행위자는 모델이 사이버 공격의 개별 단계를 엮어 사람 개입을 최소로 실행하게 하는 아키텍처를 설계한다.

보안 프레임워크가 바뀌어야 하는 이유

가장 위험한 행위자를 구분 짓는 행동의 상당수 — 예컨대 공격 체인의 단계를 순차적으로 오케스트레이션하고, 다음에 무엇을 할지 실시간으로 결정하며, 사람 개입 없이 실행하는 데 AI를 쓰는 것 — 는 아직 MITRE ATT&CK 프레임워크에 공격자 기법으로 포함돼 있지 않다.

우리가 2025년 11월에 교란한 국가배후 사이버 첩보 작전을 보자. 그 사례에서 악성 행위자는 Claude Code를 조작해 전 세계 표적을 침투하려 시도했으며, 사람 개입은 거의 없었다. 이를 MITRE ATT&CK 프레임워크에 매핑하면 해당 행위자가 13개 전술에 걸쳐 30개 기법을 썼음이 드러나는데, 이는 우리 데이터셋의 여러 중위험 행위자와 비슷한 수준이다. 분명히, 이 행위자가 쓴 기법의 수에 집중하는 것은 그가 실제로 얼마나 위험했는지를 과소평가한다(반면 우리 위험 스코어링 방법론을 이 공격에 적용하면 최고 위험 점수인 100점을 받는다).

그 공격에서 모델은 자율 에이전트로 작동했다 — 명령을 실행하고, 취약점을 익스플로잇하고, 자격증명을 탈취하고, 전술적 결정을 내렸으며, 몇몇 핵심 순간에만 사람의 입력을 필요로 했다. 이런 유형의 에이전트형 오케스트레이션에 해당하는 ATT&CK ID는 없다 — 그런데 이것이야말로 AI 에이전트가 더 유능해질수록 훨씬 더 많이 보게 되리라 예상하는 행동이다.

앞으로

이 분석의 발견은 우리가 모델에 탑재하는 안전장치에 정보를 제공했다. 예를 들어 우리는 가장 유능한 모델에 사이버 안전장치를 개발·배포해, 악성코드 개발이나 대량 데이터 유출처럼 여기서 드러난 활동 일부를 탐지·차단한다. Verizon과의 작업에 이어, 우리는 또한 MITRE와 ATT&CK 프레임워크가 우리가 관찰한 AI 기반 행동을 포함하도록 어떻게 진화할 수 있을지 논의하고 있다.

프런티어 모델은 공격자와 방어자 모두가 손에 쥔 도구를 빠르게 바꾸고 있다. 우리는 방어자가 이 진화하는 전술보다 앞서 나가도록 돕고, 가장 강력한 도구를 방어자 손에 먼저 쥐여 주는 데 전념하고 있다. 우리는 Project Glasswing에서, 여기서 모은 것 같은 데이터셋에서, 그리고 우리의 다른 사이버보안 활동에서 배운 것을 계속 공유할 것이다.

우리 Red 블로그 글에서는 방어자가 AI 기반 위협보다 앞서도록 돕기 위해, 공격자가 쓴 기법을 보여 주는 인터랙티브 시각화를 공유한다.