AI 모의해킹 도구의 실전 무기화: AntiFox 다중 에이전트가 AWS 프로덕션 시크릿을 탈취한 방식
자율형 AI 모의해킹 도구 AntiFox가 인터넷 노출 서버 침투부터 AWS IAM 권한 열거, Secrets Manager 프로덕션 키 탈취까지 연계 공격에 악용된 전말을 분석한다.
발행일: 2026.11.12
공식 사이트 확인GitHub 공개 배포 기반 자율 침투 프레임워크
EC2·S3부터 Bedrock·Secrets Manager까지 전방위 스캔
운영 환경 핵심 시크릿 키 유출 및 S3 오브젝트 접근
보안 진단 목적으로 개발된 오픈소스 자율형 모의해킹 도구가 실제 침해 사고의 핵심 무기로 전환되었다. 보안 전문 기업 아크틱 울프 랩스(Arctic Wolf Labs)의 최신 위협 분석에 따르면, 다중 에이전트 기반 모의침투 프레임워크인 ‘AntiFox’가 알리바바 클라우드 인프라에 호스팅된 채 외부 웹 서버를 공격하고 아마존웹서비스(AWS) 운영 환경의 기밀 자산까지 탈취한 정황이 확인되었다.
AntiFox는 기획자(Planner), 작업자(Worker), 주 에이전트(Main-agent)로 구성된 다중 에이전트 아키텍처를 기반으로 동작한다. 글로벌 자산 그래프와 작업별 탐색 그래프로 이루어진 이중 그래프 코어를 활용해 표적 정찰, 공격 표면 탐색, 익스플로잇 실행, 취약점 증적 수집, 최종 보고서 작성까지 단일 파이프라인으로 수행한다. 당초 보안 엔지니어가 즉시 재현 가능한 증적 보고서를 클라이언트에 전달하도록 설계된 이 전달력 중심 메커니즘이, 공격자에게는 침투부터 횡적 이동까지 소요 시간을 단축하는 자율 무기로 변질되었다.
웹 익스플로잇부터 AWS 시크릿 추출까지의 기계적 실행 흐름
인터넷 노출 IIS 서버 익스플로잇 및 w3wp.exe 기반 ASPX 웹셸 생성
whoami, icacls 명령어로 작업자 프로세스 권한 및 웹 루트 쓰기 권한 검증
서버 내 설정 파일 탈취 또는 기확보된 IAM 키를 활용해 콘솔·API 인증 수행
EC2, S3, RDS, Bedrock, Secrets Manager 등 무차별 API 권한 호출 시도
GetSecretValue API 성공 호출로 프로덕션 기밀값 탈취 및 S3 데이터 무단 접근
IIS 웹셸 배포부터 AWS Secrets Manager 탈취까지의 메커니즘
이번 캠페인에서 관측된 침해 양상은 외부 노출 웹 애플리케이션의 취약점 공격에서 시작되었다. 공격자는 인터넷에 노출된 마이크로소프트 IIS(Internet Information Services) 서버를 침해한 뒤, 정상 작업자 프로세스인 w3wp.exe를 통해 악성 ASPX 웹셸을 생성했다. 웹셸이 안착된 즉시 운영체제 콘솔 명령어가 기계적으로 실행되었다.
공격자는 whoami 명령으로 실행 컨텍스트를 파악하고, 웹 애플리케이션 디렉터리를 열거했으며, icacls를 실행해 파일 시스템 권한을 확인했다. 또한 웹 루트 경로에 파일 쓰기 권한이 정상 작동하는지 시험하며 지속성 유지 거점을 확보했다. 정상적인 웹 서비스 프로세스 권한 내에서 수행된 작업이기 때문에 전통적인 시그니처 기반 보안 감시망을 쉽게 우회했다.
이후 공격의 초점은 클라우드 인프라 내부로 이동했다. 유효한 AWS IAM 자격증명을 획득한 공격자는 이를 AntiFox 프레임워크와 결합해 공격 표면을 급격히 확장했다. 공격자는 단일 IAM 식별자를 사용해 무려 18개에 달하는 주요 AWS 서비스의 권한을 무차별 탐색했다.
- 컴퓨트 및 컨테이너: EC2, Lambda, ECS, EKS
- 스토리지 및 데이터베이스: S3, RDS, DynamoDB, Redshift
- 데이터 엔지니어링 및 AI: Glue, Athena, Amazon Bedrock
- 인프라 제어 및 암호화: KMS, Secrets Manager, Systems Manager, CloudFormation, API Gateway, CloudWatch
호출된 API 요청의 상당수는 과도한 권한 설정이 차단되어 AccessDenied 오류를 반환했다. 그러나 클라우드 설정 오류로 인해 과도한 읽기 권한이 부여된 지점에서 방어선이 무너졌다. 공격자는 AWS Secrets Manager에 대한 열거 공격을 통과한 뒤, 프로덕션 환경의 민감한 암호화 키와 접속 정보를 반환하는 GetSecretValue API 호출을 성공시켰다. 연이어 유효한 AWS 자격증명으로 S3 버킷을 조회하고 내부 오브젝트를 다루는 스토리지 침탈 작업까지 진행되었다.
공격 수행 방식과 클라우드 인프라 파급력 대조
- • 침투 테스터가 단계마다 수동으로 명령어 조합 및 분석
- • 자격증명 획득 후 클라우드 서비스 탐색에 수 시간–수일 소요
- • 사람의 작업 시간대에 의존하여 야간·주말 대응 시간 확보 가능
- • Planner-Worker 이중 그래프 기반으로 취약점 발견 즉시 익스플로잇
- • 18개 AWS 서비스 API 호출 및 권한 매핑을 수 분 내 자동 완료
- • 목표 지시만으로 GetSecretValue 탈취까지 사람 개입 없이 완결
에이전트 기반 공격 도구 확산과 인프라 방어선 취약점 비교
최근 사이버 위협 지형에서는 AntiFox 외에도 ARTEX 등 AI 기반 자율 침투 플랫폼이 공격자 집단에 급속도로 흡수되고 있다. 체크포인트 리서치(Check Point Research)와 센시스(Censys)의 집계에 따르면, 외부에 노출된 ARTEX 콘솔만 전 세계적으로 1,400개에서 2,500개 이상 식별되었다. 이들 중 상당수는 미국, 중국, 홍콩, 일본, 싱가포르, 한국 등 아시아·태평양 및 북미 주요 데이터센터 거점에 밀집해 있다.
이러한 플랫폼의 공통적인 특징은 운영자의 개입을 극소화한다는 점이다. 과거에는 공격자가 침투 단계마다 셸을 열고 다음 명령어를 판단해야 했으나, 자율 에이전트는 단일 침투 목표만 주어지면 하위 작업을 스스로 생성하고 최단 경로를 찾아 횡적 이동을 감행한다. GitHub 저장소에서 API 키를 스캔한 뒤 Azure Key Vault나 AWS Secrets Manager에서 데이터를 빼돌리는 전체 과정이 5분 내외로 압축된다.
| 평가 및 비교 항목 | 수동 기반 스크립트 공격 | 상용 침투 테스트 도구 (Cobalt Strike 등) | AntiFox 자율 에이전트 공격 |
|---|---|---|---|
| 초기 침투 및 셸 획득 | 단일 취약점 스크립트 실행 | 공격자가 페이로드 수동 제작 | 취약점 탐지 시 ASPX 웹셸 즉시 자동 주입 |
| 자격증명 열거 속도 | 분당 수십 건 내외 수동 시도 | 모듈별 사전 정의 명령어 실행 | 18개 AWS 서비스 API를 실시간 병렬 호출 |
| 상황 판단 메커니즘 | 운영자 수동 분석 | C2 서버 통신 및 작업자 지시 | 다중 에이전트(Planner/Worker) 이중 그래프 추론 |
| Secrets Manager 공략 | 발견 시 개별 키 수동 추출 | 플러그인 기반 스크립트 구동 | 열거 직후 GetSecretValue 자율 연쇄 실행 |
| 운영자 개입 수준 | 전 과정 지속 개입 필요 | 중간 명령 하달 필수 | 최초 목표 설정 및 주기적 결과 점검 수준 |
| 방어 탐지 회피력 | 단일 IP 기반 차단에 취약 | 시그니처 탐지 및 EDR에 노출 | 알리바바 등 클라우드 호스팅 기반 다변화 분산 |
자율형 에이전트의 위협은 단순한 연쇄 공격 속도에 그치지 않는다. 중국 해커 조직의 ‘Operation Ghost-Campus’ 사례처럼, 에이전트가 네트워크 검색 엔진을 통해 노출된 서버를 스캔하고, 오픈AI 및 딥시크(DeepSeek) API 키를 탈취해 잔액을 검증한 뒤, 이를 자신의 개발 환경에 주입해 공짜 컴퓨팅 자원으로 봇을 돌리는 순환 구조까지 구축되고 있다. 탈취된 자격증명이 또 다른 자동화 인프라의 연료로 재투자되는 형태다.
웹 애플리케이션부터 IAM 권한 제어까지 단계별 봉쇄 전략
IIS w3wp.exe의 비정상 하위 프로세스 생성 차단 및 웹 루트 디렉터리 쓰기 권한 제거
IMDSv2 강제 적용과 서비스 단위 와일드카드(*) 권한 제거로 무단 열거 무력화
단시간 내 10개 이상 서비스에 걸친 API 거부 발생 시 해당 IAM 세션 즉각 격리
클라우드 보안 책임자가 즉시 실행해야 할 3대 통제 항목
AntiFox와 같은 자율 에이전트 침투 도구는 시스템 관리자가 부여한 사소한 과잉 권한을 정확히 찾아 파고든다. 수백 번의 AccessDenied 속에서도 단 하나의 GetSecretValue 권한이 열려 있으면 전체 데이터베이스와 백엔드 시스템이 장악된다. 엔지니어링 팀은 즉시 다음 세 가지 방어 체계를 실무 환경에 적용해야 한다.
1. IAM 역할의 와일드카드 제거와 Secrets Manager 리소스 기반 정책 강화
개발 편의를 위해 secretsmanager:Get* 또는 secretsmanager:* 형태로 와일드카드가 적용된 인라인 정책을 전수 감사해야 한다.
- 애플리케이션이 필요로 하는 특정 시크릿 ARN만
Resource절에 명시한다. - 중요한 프로덕션 시크릿에는 리소스 기반 정책(Resource-based Policy)을 설정하여, 사내 지정 VPC 엔드포인트나 특정 배포 역할 외에는 관리자 권한을 가진 IAM일지라도 호출할 수 없도록 이중 통제한다.
2. CloudTrail 기반 비정상 열거 활동 자동 차단 자동화
AntiFox 공격의 명확한 지문은 단기간에 이뤄지는 광범위한 서비스 API 호출 실패다. 정상적인 워크로드는 자신이 사용하지 않는 Glue, Bedrock, Redshift 등의 API를 호출하지 않는다.
- 단일 IAM 엔티티가 5분 이내에 3개 이상의 서로 다른 서비스에서
AccessDenied에러를 10회 이상 발생시킬 경우, 해당 자격증명의 세션을 즉각 무효화하고 임시 격리 정책(DenyAll)을 자동 부착하는 이벤트 기반 보안 파이프라인(EventBridge + Lambda)을 구축해야 한다. - 특히 Secrets Manager 및 KMS에 대한 비정상적인
GetSecretValue,Decrypt호출 시도는 지체 없이 보안 관제(P1) 티켓으로 승격시켜야 한다.
3. 호스트 레벨의 파일 무결성 및 IIS 작업자 프로세스 제어
윈도우 기반 웹 애플리케이션을 호스팅하는 인프라에서는 웹 서버 프로세스의 행위를 엄격히 제한해야 한다.
w3wp.exe프로세스가cmd.exe,powershell.exe,whoami.exe,icacls.exe등 시스템 도구를 직접 호출하지 못하도록 EDR(엔드포인트 탐지 및 대응) 규칙 및 AppLocker 정책을 구성한다.- 웹 서버 인스턴스에서는 AWS 메타데이터 서비스 버전을 IMDSv2로 강제 전환하고, 홉 제한(Hop Limit)을 1로 설정하여 컨테이너나 웹 프로세스를 통한 메타데이터 토큰 탈취를 원천 봉쇄해야 한다.