연구원들이 Claude에게 PLC 간 RCE 익스플로잇 전달을 요청하다 - AI가 익스플로잇 확산 도구로 활용되다

연구원들이 인증 없이 원격 코드 실행(RCE) 취약점을 산업용 자동화 모델( PLC ) 간에 이전하는 데 클로드를 사용했습니다. 드문 장비를 보호하던 취약점 포팅 장벽이 무너졌습니다.

사실

Hacker News는 2026년 9월 2일 클로드(앤트로픽)를 사용하여 사전 인증 RCE(Remote Code Execution) 취약점—인증 없이 원격 코드 실행—을 산업용 자동화 장치(PLC, Programmable Logic Controller)의 한 모델에서 동일한 분야의 다른 모델로 전이하는 연구팀의 사용 사례를 보도했습니다.

연구의 핵심 포인트: 해당 취약점은 이미 존재했지만 특정 모델을 대상으로 했습니다. 다른 모델로의 전이를 위해서는 이전까지 리버스 엔지니어링 전문 지식, 펌웨어 이해 및 시간이 필요했습니다. 연구팀은 클로드에게 코드 적응, 메모리 오프셋 매핑, 대상 장치에서 익스플로잇 체인 재구성을 위임했습니다.

영향을 받는 대상

PLC는 산업 자동화의 두뇌 역할을 합니다. 생산 라인, 수도 시스템, 전기망, 신호등 등을 제어합니다. 사전 인증 RCE 취약점에 영향을 받는 모델은 일반적으로 다음을 포함합니다:

• 제조업 (지멘스, 록웰, 슈나이더 일렉트릭, 오므론, 미쓰비시 및 동급 제품)
• 수도, 에너지, 교통 등 핵심 인프라 (PLC가 광범위하게 사용됨)
• 통합업체 및 엔지니어링 설계사 (고객에게 장비를 배치하는 업체)

이 публикация은 책임 있는 연구에 의해 이루어졌지만, 이는 공격 주체가 이미 내부적으로 실천하고 있을 가능성이 높은 내용을 공개적으로 입증했다는 점에 주목해야 합니다.

왜 이것이 중요한가

역사적으로 PLC는 그 다양성으로 인해 부분적으로 보호되었습니다. 각 제조사, 각 세대, 각 펌웨어는 고유한 특성을 가졌습니다. 지멘스 S7에 대한 익스플로잇은 록웰 ControlLogix에서는 작동하지 않았습니다. 이러한 파편화는 전이 비용을 높였으며, 결과적으로 표적 공격은 드물고 비용이 많이 들었습니다.

이 연구로 인해 변화가 생겼습니다:

1. 전이의 인지 비용이 급격히 감소했습니다. 숙련된 리버스 엔지니어에게 몇 주가 걸리던 작업이 이제 펌웨어를 분석할 수 있는 LLM을 사용해 몇 번의 반복으로 가능해졌습니다.
2. 공격 표면이 확대되었습니다. 가장 많이 연구된 모델에 대한 익스플로잇 하나가 빠르게 해당 분야 전체에 대한 익스플로잇 패밀리로 변할 수 있습니다.
3. 책임의 경계가 모호해졌습니다. LLM의 도움을 받아 익스플로잇을 전이하는 연구자는 패치를 제공하기 전에 더 빠르게 아티팩트를 생산할 수 있습니다. 즉, 집단 취약점 창이 패치此之前 열리게 됩니다.

이 사례는 우리가 주목해온 흐름과 일맥상통합니다. 에이전트와 LLM은 더 이상 방어용 코드 작성을 보조하는 데 그치지 않고, 연구자(그리고 결과적으로 공격자)의 공격 능력을 확대시키고 있습니다. 이들은 합리적인 시간 내에 스스로 익스플로잇을 개발할 수 없었을 것입니다.

지금 해야 할 일

• PLC 인벤토리 작성: 모델, 펌웨어, 네트워크 노출 여부 확인. 2026년 현재 인터넷에 노출된 PLC는 시한폭탄과 같습니다.
• 네트워크 분리: OT(운영 기술) 네트워크를 IT 네트워크와 엄격히 분리. 인터넷 직접 접근 금지. 원격 접근 시 VPN + 배스천(Bastion) 사용.
• 제조사 advisories 모니터링: 지멘스 ProductCERT, 록웰 PSIRT, 슈나이더 일렉트릭 CPCERT 등. 패치 주기가 가속화될 것입니다.
• 전이 가능성 예측: 인접 모델에 CVE가 발생했다면, 전용 익스플로잇이 없더라도 위험으로 간주하세요.

기억하세요: PLC 생태계에서 ‘내 모델은 너무 희귀해서 공격 대상이 되지 않는다’는 암흑 방어 전략은 더 이상 통하지 않습니다. 장비를 보호하던 것은 전용 익스플로잇 작성 비용이었습니다. 이제 그 비용이 한 단계 낮아졌습니다.