알리바바(Alibaba)의 큐원(Qwen) 모델을 가장한 깃허브(GitHub) 저장소가 약 487KB 압축파일로 정보탈취형 악성코드를 유포한 정황이 공개됐다. 모델 가중치로 보기 어려운 작은 파일 크기가 첫 의심 신호로 지목됐다.
우블록체인은 28일 오후 9시32분(한국시간) 슬로우미스트(SlowMist) 보안팀의 분석을 전하며 이같이 보도했다. 문제의 저장소는 큐원 3.8 27B 로컬 양자화 모델로 위장했으며, 표시된 모델 크기와 실제 내려받는 파일 크기가 크게 달랐다.
슬로우미스트는 해당 모델의 정상 파일 크기가 통상 16GB를 넘어야 하지만 실제 다운로드 파일은 약 487KB에 그쳤다고 밝혔다. 압축파일에는 모델 가중치가 아니라 위장 파일, LuaJIT 인터프리터, 난독화된 루아 스크립트가 들어 있었다.
큐원 공식 프로젝트가 침해된 것은 아니다. 슬로우미스트는 이번 사안이 공식 프로젝트 해킹이 아니라 큐원 모델명을 사칭한 별도 깃허브 저장소 문제라고 설명했다.
국내 개발자는 모델 파일을 내려받기 전 배포 주체와 파일 크기, 공식 계정 여부를 대조할 필요가 있다.
악성 프로그램은 실행 뒤 호스트 데이터를 수집하고 화면을 캡처해 공격자의 명령제어(C2) 서버로 보내는 구조로 파악됐다. C2는 악성코드가 공격자 서버와 명령을 주고받는 명령제어 인프라를 뜻한다.
하드코딩된 서버가 작동하지 않을 때는 폴리곤(POL) 체인상 계약에서 예비 C2 주소를 읽어오는 방식도 포함됐다. 공격자가 온체인 거래를 이용해 기반시설 주소를 바꿀 수 있는 구조다.
후속 페이로드는 브라우저 로그인 정보, 쿠키, 방문 기록, 이메일 정보, WinSCP와 스팀(Steam) 인증 정보, 지갑 관련 파일과 확장 프로그램 데이터를 훔칠 수 있는 것으로 분석됐다. 개발자 작업 환경과 개인 지갑 환경이 같은 기기에 있을 경우 피해 범위가 커질 수 있다.
슬로우미스트는 같은 루아 투입 체인을 쓰는 깃허브 저장소가 최소 23개, 유사 압축파일이 29개 확인됐다고 밝혔다. 단일 저장소가 아니라 비슷한 위장 방식이 여러 저장소에 퍼졌다는 의미다.
오픈웨이트 AI 모델은 개발자가 모델 파일을 내려받아 로컬 환경에서 직접 실행할 수 있다는 점에서 활용 폭이 크다. 그러나 저장소 이름, 설명, 모델 카드가 그럴듯해도 배포 주체와 파일 크기, 공식 계정 여부를 대조하지 않으면 공급망 공격 경로가 될 수 있다.
이번 사례는 AI 모델 생태계와 블록체인 보안 이슈가 맞물린 사안이다. 모델 자체가 아니라 모델을 내려받는 개발자 경로가 공격 표면이 됐고, 예비 C2 주소 관리에는 폴리곤 체인 계약이 활용된 것으로 분석됐다.
국내 개발자와 가상자산 이용자에게는 내려받은 파일의 실행 전 검증이 핵심이다. 특히 로컬 AI 모델 실행을 내세운 파일은 브라우저 세션, 개발자 인증정보, 지갑 확장 데이터가 있는 환경에서 실행될 수 있어 피해가 계정 탈취와 자산 탈취로 이어질 수 있다.
본지는 앞서 [웹3 개발자를 겨냥한 브이에스코드 플러그인 공급망 오염 의혹](https://www.tokenpost.kr/news/cryptocurrency/393299)을 보도한 바 있다. 이번 사안도 개발자가 신뢰하는 저장소와 도구 설치 흐름을 노렸다는 점에서 같은 계열의 공급망 보안 위험으로 볼 수 있다.
가상자산 시장 가격에 미친 직접 영향은 제시되지 않았다. 다만 폴리곤 체인 계약을 예비 C2 주소 관리에 활용했다는 점에서 블록체인 인프라가 악성코드 운영에도 악용될 수 있다는 보안상 의미가 남았다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사