해킹도 AI에 맡겼다…Cairn 사건에서 드러난 대규모 침입

공격자가 목표를 정한 뒤, 취약점을 찾고 막힌 경로를 바꿔 가는 반복 작업까지 AI에 넘겼다. AI에게 방법을 물어보는 데서 실행을 맡기는 쪽으로 옮겨 간 것이다.

수많은 사이트를 건드린 공격의 출발점

Reuters에 따르면 해당 캠페인은 2026년 9월 25일 시작됐고, 연구자가 노출된 Cairn 실행 환경을 발견하기 시작한 때는 10월 2일경이다. Reuters가 전한 10월 중순의 시도 대상은 1,200개가 넘는 사이트였다. Reuters 조사

사람이 목적을 정하고, 에이전트가 다음 시도를 골랐다

Cairn의 공식 설명은 이를 출발점과 목표 사이의 경로를 찾는 범용 문제 해결 엔진으로 소개한다. 여러 작업자가 발견한 사실과 다음에 살펴볼 방향을 공용 기록에 남긴다. 다른 작업자는 그 기록을 읽고 일을 이어 가며, 사람도 중간에 힌트를 넣을 수 있다. 정해진 대사를 차례대로 수행하는 구조보다는, 결과를 보고 다음 작업을 만드는 구조에 가깝다.

NorForge가 관찰한 최대 활동군에서는 대상 사이트를 선별하고 실제 거래가 가능한지 미리 검사하는 자동화 흐름도 드러났다. 공격자는 대상과 접근권 확보라는 목표를 공급했다. 연구자는 이 활동군이 나중에도 접근할 수 있는 상태를 만드는 데 집중했다고 분석했다.

역할을 나누면 사건이 더 잘 보인다. 사람 쪽에는 누구를 겨냥할지, 무엇을 성공으로 볼지 정하는 일이 남아 있다. 에이전트 쪽으로 넘어간 것은 관찰 결과를 정리하고 다음 시도를 고르며 실행을 이어 가는 일이다. 조사자에게는 그 기록이 실제 피해를 가리키는지 따로 확인하는 일이 남는다. 공격자의 의도, AI의 실행, 피해 확인을 한 덩어리로 쓰면 자율성도 피해도 부풀리기 쉽다.

Reuters가 소개한 사례에서 에이전트는 처음 살펴본 서비스에서 약점을 찾지 못하자 관련 시스템으로 이동했다. 다른 관리 화면의 약점을 발견하고 여러 시간의 시행착오 끝에 명령 실행을 보고했다. 실행 사례

이 사건의 자율성은 작업을 맡긴 뒤의 자율성으로 이해하는 편이 정확하다. 시스템이 스스로 범죄의 목적을 만들었다는 이야기가 아니다. 반대로 사람이 목표를 입력했다는 이유만으로, 그 뒤에 이어진 긴 실행을 단순한 검색 보조라고 부를 수도 없다. 사람이 다음 명령을 계속 생각해서 넣어야 하는 빈도가 줄었다는 데 의미가 있다.

성공 표시와 실제 피해 사이에는 확인이 더 필요하다

NorForge는 일부 성공 기록을 별도로 확인했다. 한 업체 사이트에서는 기록에 적힌 업로드용 웹셸(공격자가 파일을 올릴 수 있도록 심어 둔 통로)이 실제로 열렸고, 다른 사례에서는 침입 경로를 검증했다고 밝혔다. 다만 공개된 모든 성공 기록을 같은 수준으로 검증했다는 뜻은 아니다. 확인 범위

Reuters도 Cairn 활동 기록을 따로 검토해 피해 기업의 신원을 확인했지만, 무단 데이터 반출의 정도는 확인하지 못했다고 밝혔다. Reuters의 2026년 10월 19일 보도에서 Deere는 필요한 조치를 했으며 민감한 정보에 접근한 징후가 없다고 했다. SharkNinja는 제품 지원 정보만 있는 별도 사이트가 영향을 받았고 위협을 차단했다고 설명했다. 기업 답변

The Verge의 2026년 10월 19일 갱신본에 실린 답변에서 Cummins도 외부 업체가 운영하는 웹사이트의 잠재적 사이버 공격을 조사 중이라고 밝혔다. 이는 Cummins 내부 시스템 전체의 침해를 확인한 답변과는 범위가 다르다. Cummins의 추가 답변

실무에서 이 차이는 후속 조치를 가른다. 외부 페이지에 파일을 올릴 수 있었는지, 계정 정보가 노출됐는지, 고객 데이터가 밖으로 나갔는지에 따라 조사 범위가 달라진다. 웹사이트 침입을 가볍게 볼 이유는 없지만, 회사 이름만 이어 붙인 피해 목록으로는 어느 업무와 데이터가 영향을 받았는지 알 수 없다.

공격 기록은 출발점이고 피해 확인은 별도의 작업이다. AI가 쓴 성공 보고서를 그대로 믿는 것도, 피해 기업의 첫 답변을 최종 조사 결과로 취급하는 것도 피해야 한다. 이 사건을 계속 볼 때 더 중요한 새 정보는 피해 기업 명단의 길이보다 실제 접근 범위와 반출 여부다.

5달러와 50달러는 서로 다른 비용이다

NorForge가 2026년 10월 19일 제시한 평균 작업비는 실패한 짧은 작업까지 포함해 약 5달러다. 실제 토큰 사용량 없이 추정했으며 오차도 크다고 명시했다. 작업자 이름에서 Claude Code 실행 틀과 DeepSeek 모델의 조합을 추측했을 뿐, 실제 모델 구성을 확정한 것도 아니다. 비용 추정의 전제

Reuters가 같은 날 전한 해당 캠페인의 추정 토큰 비용은 총 약 5,000달러, 성공한 침입당 약 50달러였다. 캠페인 비용

분모를 바꾸면 두 금액의 차이가 보인다. 이 글의 설명용 가정으로 작업 10번에 각각 5달러를 쓰고 그중 한 번 성공했다고 놓으면, 지출은 50달러이고 성공 한 건에 배분되는 비용도 50달러다. 실제 캠페인의 성공률을 재현한 계산이 아니라, 실패한 시도의 비용이 어디로 가는지 보여 주는 예시다. 작업당 비용만으로 침입 한 건의 가격을 말하면 실패 비용이 사라진다.

게다가 토큰 비용은 전체 원가의 일부다. 실행 환경을 준비하고 대상을 모으고 결과를 확인하는 데 든 시간과 서버 비용까지 모두 담은 장부가 있어야 총비용을 말할 수 있다. 공개된 추정액을 누구나 같은 돈으로 같은 결과를 얻는 가격표로 받아들일 수는 없다.

그렇다고 비용 추정의 불확실성이 사건의 의미를 없애지는 않는다. 사람이 다음 시도를 직접 설계하는 대신 시스템에 더 시켜 볼 수 있다면, 실패할 때마다 드는 사람의 시간이 달라진다. 이 경우 개별 시도의 성공률이 아주 높지 않아도 시도량을 늘릴 유인이 생긴다. 내가 더 신경 쓰는 부분도 정확히 몇 달러였느냐보다, 공격자가 실패를 감당하는 방식이 바뀌었다는 점이다.

도구 이름 하나로 설명이 끝나지 않는다

Cairn 공식 문서는 Claude Code, Codex, Pi 같은 여러 작업 실행 방식을 지원한다고 설명한다. 여기서 Cairn은 일을 나누고 기록을 이어 주는 구조, 실행 도구는 모델과 작업 환경을 연결하는 층, 모델은 입력을 받아 판단과 출력을 만드는 층으로 구분해 볼 수 있다. 프로젝트는 허가받은 환경에서만 사용하라고 명시한다. 프로젝트 설명과 사용 범위

이 구분 없이 도구 이름을 곧 모델 이름으로 읽으면 어느 회사의 무엇이 사용됐는지부터 흐려진다. 특정 모델의 성능만 바꾸면 같은 공격이 사라질 거라는 결론도 성급하다. 공격을 지속시키는 데는 모델 외에 기록, 도구, 실행 환경, 사람이 정한 목표가 함께 작용하기 때문이다.

NorForge는 2026년 10월 19일 보고서에서 악성 활동에 쓰인 것으로 판단한 공개 관리 화면을 20개 넘게 확인했다고 밝혔다. 일부 화면에는 발견한 비밀정보와 사람이 넣은 자격 증명도 노출됐다. 이 노출 덕분에 조사자는 공격 과정을 들여다볼 수 있었다.

관리 화면 노출에만 초점을 맞추면 정작 방어자가 알아야 할 변화가 뒤로 밀린다. 이번 기록이 보여 주는 것은 허술한 공격자도 긴 실행 과정을 위임할 수 있다는 현실이다. 관리 화면을 잘 숨긴 공격은 이런 방식으로 관찰되지 않을 수 있다는 점도 함께 생각해야 한다.

그래서, 운영자가 다시 볼 것은 공격의 작업량이다

사이트를 운영하는 입장에서는 우리 서비스가 대단한 표적이 아니라는 판단에 덜 기대고 싶다. 공격자가 많은 대상을 처리할 수 있다면, 우리를 특별히 골라 긴 시간을 쓰겠다고 결심할 필요가 줄어든다. 오래 남겨 둔 서비스나 외부 업체가 관리하는 페이지도 운영 범위 안에서 다시 볼 이유가 생긴다.

우선순위는 새로운 AI 보안 제품을 당장 고르는 쪽보다, 어떤 공개 서비스에 누가 책임을 지고 있는지 확인하는 쪽에 두겠다. 문제가 생겼을 때 접근 흔적과 데이터 반출 여부를 구분해 조사할 수 있는지도 중요하다. 공격이 있었다는 알림만으로는 실제 피해를 설명하거나 복구 순서를 정하기 어렵다.

Cairn 사건을 모든 회사가 자동으로 뚫리는 시대의 증거로 읽지는 않는다. 다만 사람의 손이 많이 가던 침입 작업을 더 오래, 더 많이 돌릴 수 있게 된 사례로는 충분히 무겁다. 방어자가 대응해야 할 것은 AI라는 이름만이 아니라, 한 공격자가 계속 만들어 낼 수 있는 시도와 그 시도를 견디지 못한 작은 빈틈이다.

출처

1. NorForge · Inside Cairn · 2026-10-19
2. Reuters · How one hacker used AI agents and a few thousand dollars to break into scores of sites · 2026-10-19; AOL wire updated 10:06 UTC · 대조한 영문 재전재본
3. Cairn 공식 프로젝트 README · 작성일 미표시; 2026-10-20 확인
4. The Verge · A hacker broke into John Deere and SharkNinja with an army of AI agents · 2026-10-19; Cummins 답변을 포함한 같은 날 갱신