33개 호스트서 AI 웜, 평균 20.4개로 자가복제

미국·캐나다·영국 연구진이 격리된 가상 네트워크에서 스스로 공격 경로를 구성하고 복제하는 인공지능(AI) 웜을 시험했다. AI 웜은 7일 동안 평균 23.1개 호스트에서 root 또는 SYSTEM 권한을 확보하고 평균 20.4개 호스트로 복제됐다.

토론토대(University of Toronto), 벡터연구소(Vector Institute), 케임브리지대(University of Cambridge), 서비스나우(ServiceNow) 연구진은 6월 2일 아카이브(arXiv)에 논문 ‘AI Agents Enable Adaptive Computer Worms’를 공개했다. 웜은 공개 가중치 대규모언어모델(LLM)을 로컬 환경에서 실행해 오픈AI(OpenAI)나 앤트로픽(Anthropic) 등 상용 응용프로그램 인터페이스(API)에 의존하지 않았다.

이번 실험의 핵심은 적응형 공격이다. 기존 웜이 사전에 정해진 취약점과 공격 코드를 반복하는 것과 달리 AI 웜은 네트워크에서 대상을 탐색하고 취약점 후보를 판단했다. 공격에 실패하면 오류 메시지를 분석해 다른 방식을 다시 구성했다.

실험은 ‘FakeCorp’라는 격리 가상 네트워크에서 15차례 독립적으로 진행됐다. 리눅스와 윈도, 사물인터넷(IoT) 장비 등 33개 호스트로 구성된 환경에서 AI 웜은 평균 31.3개 취약점을 식별했다. 최대 자기복제 세대는 7세대였다.

다만 이 결과를 실제 인터넷 환경의 확산 능력과 동일하게 볼 수는 없다. 모든 대상 호스트에 악용 가능한 취약점이 최소 하나 있었고 엔드포인트 탐지·대응(EDR), 백신, 능동 방화벽도 배치되지 않았다. 실제 기업망 침투 성능보다 AI 에이전트가 여러 취약점을 스스로 추론하고 연결하는 능력을 검증한 실험에 가깝다.

AI 웜은 실행 중 새 취약점 정보를 읽어 공격에 활용하기도 했다. 실험 대상에는 마리모(Marimo) 원격코드실행 취약점 CVE-2026-39987과 리눅스 커널 권한상승 취약점 Copy Fail(CVE-2026-31431), Dirty Frag(CVE-2026-43284·CVE-2026-43500)가 포함됐다. 세 취약점을 대상으로 한 67회 시도 가운데 41회 root 권한을 확보했다.

Copy Fail과 Dirty Frag 공격에서는 공개된 익스플로잇 지침 문서 하나만으로 40회 중 28회 성공해 70.0%의 성공률을 기록했다. 취약점 정보가 공개된 뒤 기업이 검증과 배포를 거쳐 패치를 적용하기까지의 시간 차이가 자동화 공격에 노출될 수 있음을 보여준다.

특정 블록체인이나 거래소, 토큰, 디파이 프로토콜을 겨냥한 실험은 아니었다. 다만 크립토 인프라는 노드와 서명 서버, 클라우드 인스턴스, 지갑 백엔드, 내부 관리자 도구 등 상시 연결된 자산이 많다. 이번 연구는 특정 코인의 가격보다 운영 보안과 권한 관리, 네트워크 분리, 패치 검증 체계에 관한 문제를 제기한다.

공격 능력뿐 아니라 에이전트가 접근할 수 있는 시스템과 외부 접속 경로, 작업 기록을 제한하고 점검하는 체계가 필요하다는 의미다.

반도체와의 연결점은 그래픽처리장치(GPU) 인프라에서 나타났다. 연구진은 웜이 GPU 장착 호스트를 장악하면 로컬 LLM 사본을 배치해 추론 노드로 활용하고, 연산 능력이 낮은 장치가 이 노드에 질의하는 계층형 구조를 설명했다. GPU 서버가 피해 장비를 넘어 공격을 위한 추론 인프라로 쓰일 수 있는 구조다.

클라우드시큐리티얼라이언스(Cloud Security Alliance)는 6월 4일 브리핑에서 이번 연구를 AI가 인간이 사용하는 도구를 넘어 자율 운영자 자체가 되는 위협으로 분류했다. 현행 EDR과 네트워크 탐지·대응(NDR) 도구가 비정상적인 LLM 추론 작업을 탐지할 수 있는지도 평가해야 한다고 지적했다.

연구진은 구현 코드를 공개하지 않았으며 토론토대와 함께 방어 연구 목적의 검증된 연구자에게 접근 권한을 부여하는 절차를 마련하고 있다. 실험용 웜에서는 은닉과 암호화, 흔적 삭제, 지속성 확보 기능을 의도적으로 제외했으며 외부 환경에는 배포하지 않았다.

연구진은 △비표준 포트의 비콘 콜백 △SSH 공개키 자동 주입 △호스트 간 반복적인 자격증명 재사용을 주요 탐지 대상으로 제시했다. 대응 수단으로는 △제로트러스트 아키텍처 △네트워크 마이크로세그멘테이션 △자동 CVE 검증 △자동 패치 검증을 거론했다.

검증 출처: arXiv 논문, 연구진 공개 페이지, 클라우드시큐리티얼라이언스 브리핑, 다크리딩 보도