🛡️ 침투테스트 AI 가 공격 도구가 됐다 — ARTEX·PentestGPT 사건으로 본 '자동화된 해킹'의 실체와 방어

2026년 10월 6일 전자신문이 「‘침투테스트 AI’로 누구나 보안망 뚫는다」를 실었다(박진형 기자). 요지는 이렇다. 방어자가 자기 시스템을 점검하려고 만든 AI 침투테스트 에이전트들이 오픈소스로 풀렸고, 공격자도 그걸 그대로 쓰기 시작했다. 같은 주에 국내 금융권 침해 사건에서 오픈소스 AI 공격 프레임워크 ARTEX 의 흔적이 나오면서 이 이야기는 남의 일이 아니게 됐다.

이 글은 기사에 나온 내용을 1차 출처로 따라가 정리한 것이다. 무엇이 확인된 사실이고, 무엇이 벤더 주장이나 통제된 실험 결과이고, 무엇이 아직 모르는 것인지를 구분해 적는다.

---

1. 무슨 일이 있었나 — 국내 금융권과 ARTEX

연합뉴스 보도(2026-10-06)에 따르면 다음과 같다.

• 안랩 ASEC 이 전 세계 약 600개 IP 에서 ARTEX 인스턴스를 찾았다. 그중 일부에서는 CyberStrikeAI 도 함께 발견됐다.
• ASEC 은 “오픈소스 인스턴스가 곧 악성이라는 뜻은 아니다” 라고 단서를 달았다. 방어 목적으로 띄운 것도 섞여 있다는 뜻이다.
• 피해 기관으로 신한·KB국민·하나·BNK부산은행, 예가람·웰컴저축은행, 현대캐피탈이 거론됐고 경찰청 사이버수사국이 수사하고 있다.

파이낸셜뉴스는 WSJ 를 인용해 7개사에서 약 6만 8천 명분의 정보가 유출됐고, 공격이 10여 개국 20여 개 IP 를 거쳤다고 전했다.

ARTEX 는 어떤 물건인가. 연합뉴스(10-07)는 ARTEX 를 LLM 기반 멀티에이전트 구조로 설명한다. 계획을 세우는 planner 와 실행하는 worker 로 나뉘고, 특정 모델에 묶이지 않아 어떤 LLM 이든 붙일 수 있다. 9월 13일 나온 v0.3.10 에서는 DeepSeek 연동이 추가됐다. 한겨레는 ARTEX 가 8월 바이두 보안대응센터의 BSRC Agent+ 대회에서 우승한 도구라고 전한다. 대회용 공격 에이전트가 공개 저장소에 올라왔고, 몇 주 뒤 실제 침해 현장에서 발견됐다는 흐름이다.

⚠️ 아직 모르는 것. 한겨레 기사에서 김승주 교수는 “공격의 어느 단계를 AI 가 수행했는지는 불분명하다” 고 짚었다. ARTEX 흔적이 나왔다는 것과 ARTEX 가 침투를 해냈다는 것은 같은 말이 아니다. 수사 결과가 나오기 전까지는 이 둘을 구분해야 한다.

---

2. 이 도구들은 원래 무엇인가

PentestGPT — 학계에서 시작된 계보

이 분야의 출발점으로 가장 많이 인용되는 것은 Deng 등의 PentestGPT 다. 논문은 USENIX Security 2024(pp. 847–864, arXiv:2308.06782)에 실렸고, 코드는 GitHub에 공개돼 있다.

논문이 보고한 수치는 다음과 같다.

• 하위 과제 완료율이 GPT-3.5 단독 대비 +228.6%, GPT-4 단독 대비 +58.6% 올랐다.
• Hack The Box 머신 10대 중 4대를 풀었고, 비용은 131.5달러였다.
• picoMini CTF 에서 248팀 중 24위를 했다.

핵심 아이디어는 LLM 이 긴 침투 과정에서 맥락을 잃는 문제를 추론·생성·파싱 모듈로 나눠 푼 것이다. 지금의 planner/worker 멀티에이전트 구조가 이 분업의 연장선이다.

PentAGI · Strix — 완전 자율형으로

• PentAGI 는 Go 와 React 로 만든 완전 자율 멀티에이전트 침투테스트 시스템이다. LLM 제공자를 10곳 이상 지원한다.
• Strix 는 오픈소스 AI 침투테스트 에이전트다. 찾은 취약점을 PoC 로 검증하고, CI/GitHub Actions 에 붙여 PR 마다 돌리는 것을 내세운다.

이 도구들은 모두 방어자용으로 만들어졌다. 사람 컨설턴트가 일주일 걸리던 점검을 매 배포마다 돌리자는 것이다. 문제는 그 능력이 대칭적이라는 점이다. 내 서버를 점검하는 명령과 남의 서버를 공격하는 명령은 대상 주소 하나만 다르다.

---

3. 실제 악용 — 확인된 두 사례

Cisco Talos: UAT-10147 과 PentestGPT

국내 사건보다 앞서 1차 위협 인텔리전스로 확인된 사례가 있다. Cisco Talos 는 2026년 8월 20일 UAT-10147 보고서(Joey Chen)를 냈다. 내용을 요약하면 다음과 같다.

• 중국어권 위협 그룹이 C2 서버에 PentestGPT 를 설치하고, 웹 서버를 스캔해 PoC 익스플로잇을 실행했다.
• Metasploit, ysoserial 같은 전통 도구에 PentestGPT, DeepAudit 같은 AI 도구를 섞어 썼다.
• AI 가 생성한 ViewState RCE 스크립트와 플레이북, SPECTRE 임플란트가 관찰됐다.
• 표적은 정부·교육·미디어·기술·게임 분야의 웹 서버였다.

Talos 가 붙인 제목 그대로, AI 가 침투 이후 단계(post-compromise)의 작업 흐름에 통합되기 시작했다는 것이 핵심이다.

Anthropic: GTG-1002 — AI 가 전술의 80~90%

더 앞선 사례로, Anthropic 은 2025년 11월 13일 「Disrupting an AI-orchestrated cyber espionage campaign」(전체 보고서 PDF)을 공개했다.

• 중국 국가 배후로 판단된 그룹 GTG-1002 가 Claude Code 를 조작해 약 30개 대상을 공격했다.
• 전술 작업의 80~90% 를 AI 가 수행했고, 사람은 캠페인당 4~6개 의사결정 지점에만 개입했다.
• MITRE ATT&CK 은 이 캠페인을 C0062로 등재했다.

이 글을 쓰는 데 쓴 도구가 바로 그 보고서의 대상 모델 계열이다. 그래서 더 1차 출처만 인용하려고 했다.

---

4. 얼마나 빠른가 — 수치는 출처 등급별로

“AI 가 22초 만에 은행을 털었다” 류의 문장이 돌고 있다. 출처를 보면 성격이 전혀 다르다.

수치	출처	성격
4단계 공격 흐름, 6라운드·22초·약 44k 토큰	에버스핀 연구(연합뉴스)	벤더 주장. 데모 환경 결과이고, 벤더 스스로 실제 공격 소요 시간이 아니라고 밝혔다
가상 은행에서 IDOR(접근통제 실패)로 약 6분에 100건 자율 탈취	숭실대 AI안전센터 재현(ZDNet Korea)	통제된 실험. 로컬 Qwen 27B 급 모델을 썼다. 센터는 6분이 실제 은행의 방어 수준을 반영하지 않는다고 했다
HTB 10대 중 4대, 131.5달러	PentestGPT 논문(USENIX Sec ‘24)	동료심사 논문. 다만 2023~24년 모델 기준이다

중립적인 제3자 헤드투헤드 벤치마크, 곧 “실환경에서 AI 공격이 사람보다 몇 배 빠른가”를 잰 자료는 찾지 못했다. 위 숫자들은 서로 비교할 수 없다. 숫자보다 눈여겨볼 것은 숭실대 재현 실험의 구성이다. 로컬에서 돌린 중형 오픈 모델로도 IDOR 같은 기본 취약점은 자율로 뚫린다. API 사업자의 사용 정책이나 탐지로 막을 수 있는 구간이 아니라는 뜻이다.

---

5. 전문가들이 공통으로 하는 말 — “공격은 저급하다”

전자신문 기사와 한겨레 기사의 전문가 코멘트는 한 방향을 가리킨다.

• 공격 자체는 고급이 아니다. 기본적인 취약점 관리, 빠른 패치, 접근통제만으로 상당 부분 막힌다(전자신문).
• 김명주 교수는 진짜 문제가 관리되지 않던 보조 시스템이 MFA 없이 열려 있었던 것이라고 짚었다(한겨레).
• 스틸리언 박찬암 씨는 방어자가 이 도구를 먼저 자기에게 돌려보라고 권했다(전자신문).

정리하면, AI 가 바꾼 것은 공격의 질보다 비용과 규모다. 예전에는 사람이 일일이 손봐야 해서 버려지던 ‘대충 열린 곳’이, 이제는 한계비용이 거의 0 인 에이전트에게 전부 시도된다.

공격 성공률을 $p$, 시도 횟수를 $n$ 이라 하면 적어도 한 곳이 뚫릴 확률은 다음과 같다.

\[P(\text{적어도 하나 침해}) = 1 - (1 - p)^{n}\]

AI 가 키운 것은 $p$ 가 아니라 $n$ 이다. 그래서 방어의 초점도 ‘고급 공격을 막는 것’보다 $p$ 가 0 이 아닌 표면을 없애는 것으로 옮겨간다.

---

6. 방어자가 할 일 — 체크리스트

① 자기 자신에게 먼저 돌려라

Strix 처럼 CI 에 붙는 도구로 스테이징 환경에 PR 마다 자동 점검을 건다. 공격자가 쓸 도구로 공격자보다 먼저 찾는다는 것이 박찬암 씨 조언의 실천형이다. 단, 반드시 자기 자산에만, 서면 승인 범위 안에서 돌린다.

② ‘보조 시스템’ 재고 조사

이번 사건에서 지적된 것은 본계가 아니라 관리 밖의 보조 시스템이다. 이벤트 페이지, 레거시 관리 콘솔, 협력사 연동 서버 같은 것들이다.

• 외부에 노출된 호스트를 목록으로 만들고, 목록에 없는 것은 내린다.
• 관리자 경로에는 예외 없이 MFA 를 건다.

③ IDOR 를 테스트로 고정

숭실대 재현에서 뚫린 것은 접근통제 실패였다.

• /api/accounts/{id} 류의 모든 엔드포인트에 “다른 사용자 토큰으로 호출하면 403/404” 테스트를 둔다.
• 인가는 프레임워크 어노테이션이 실제로 켜져 있는지까지 확인한다. 어노테이션은 있는데 활성화 설정이 빠져 조용히 무효인 경우가 흔하다.
• 참고 기준은 OWASP API Security Top 10 — API1:2023 BOLA다.

④ 속도를 신호로 쓴다

에이전트는 사람보다 빠르고 일정하다.

• 순차적 ID 열거, 짧은 시간 안의 다수 객체 조회, 400/403 이 연속된 뒤 200 이 나오는 패턴을 서버 쪽 이상탐지 규칙으로 둔다.
• 레이트리밋은 IP 기준만으로는 부족하다(공격이 20여 개 IP 를 거쳤다). 계정·세션·객체 단위로 건다.

⑤ 패치 리드타임을 줄인다

UAT-10147 의 ViewState RCE 처럼 알려진 취약점의 자동 익스플로잇이 주력이다. 공개 PoC 가 있는 CVE 는 ‘언젠가’가 아니라 며칠 단위 SLA 로 패치한다. CISA 의 Known Exploited Vulnerabilities 카탈로그를 우선순위 입력으로 쓰면 된다.

---

맺으며

“누구나 보안망을 뚫는다”는 제목은 반만 맞다. 누구나 시도할 수 있게 됐을 뿐, 시도가 성공하는 곳은 여전히 기본이 빠진 곳이다. AI 침투테스트 도구의 공개는 되돌릴 수 없다. 방어자에게 남은 선택은 그 도구를 공격자보다 먼저, 더 자주 자기에게 돌리는 것이다.

---

References

1차 출처 (원문·논문·공식 보고서)

1. Cisco Talos, Joey Chen, “UAT-10147: Chinese-speaking adversary integrates agentic AI into post-compromise operations”, 2026-08-20. https://blog.talosintelligence.com/uat-10147-chinese-speaking-adversary-integrates-agentic-ai-into-post-compromise-operations/
2. G. Deng et al., “PentestGPT: Evaluating and Harnessing Large Language Models for Automated Penetration Testing”, USENIX Security 2024, pp. 847–864. https://www.usenix.org/conference/usenixsecurity24/presentation/deng · arXiv:2308.06782 https://arxiv.org/abs/2308.06782
3. PentestGPT 저장소. https://github.com/GreyDGL/PentestGPT
4. Anthropic, “Disrupting an AI-orchestrated cyber espionage campaign”, 2025-11-13. https://www.anthropic.com/news/disrupting-AI-espionage · 보고서 PDF https://www-cdn.anthropic.com/d7dd50dd1185f59be051b307150d877f2b82bd2c.pdf
5. MITRE ATT&CK, Campaign C0062. https://attack.mitre.org/campaigns/C0062/
6. PentAGI 저장소. https://github.com/vxcontrol/pentagi
7. Strix 저장소. https://github.com/usestrix/strix
8. OWASP, API Security Top 10 2023 — API1: Broken Object Level Authorization. https://owasp.org/API-Security/editions/2023/en/0xa1-broken-object-level-authorization/
9. CISA, Known Exploited Vulnerabilities Catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog

보도 (사건 경과·전문가 코멘트)

1. 전자신문, 박진형, 「’침투테스트 AI’로 누구나 보안망 뚫는다」, 2026-10-06. https://m.etnews.com/20261006000318
2. 연합뉴스, 안랩 ASEC 의 ARTEX 인스턴스 분석 및 금융권 피해, 2026-10-06. https://www.yna.co.kr/view/AKR20261006118100017
3. 연합뉴스, ARTEX 구조(planner/worker)·v0.3.10, 2026-10-07. https://www.yna.co.kr/view/AKR20261007112100017
4. 한겨레, ARTEX BSRC Agent+ 우승 이력 및 전문가 코멘트, 2026-10-04. https://www.hani.co.kr/arti/economy/it/1280877.html
5. 파이낸셜뉴스, 유출 규모(WSJ 인용), 2026-10-07. https://www.fnnews.com/news/202610071820584232
6. ZDNet Korea, 숭실대 AI안전센터 재현 실험, 2026-10-06. https://zdnet.co.kr/view/?no=20261006095704

벤더 주장 (재현 불가 — 데모 환경)

1. 연합뉴스, 에버스핀 AI 공격 흐름 분석, 2026-10-07. https://www.yna.co.kr/view/AKR20261007058900017