DeepSeek 텔레그램에서 제어: 중국 공격자가 Hermes Agent 프레임워크를 통한 자율 공격 시작

Unit 42 (Palo Alto)는 단일 텔레그램 명령으로 인터넷을 스캔하고 공개된 익스플로잇을 선택해 공격하는 완전한 LLM 에이전트의 실제 사례를 문서화했습니다. 이는 인간의 추가 개입 없이 수행되었습니다.

사실

Unit 42 (Palo Alto Networks) 연구팀이 중국어 사용자로 추정되는 공격자(별칭 knaithe, KnYuan)가 수행한 공격 세션 분석을 발표했다. 공격자는 DeepSeek(중국산 오픈소스 LLM)와 오픈소스 에이전트 프레임워크 Hermes Agent를 사용한다. 공격 방식:

1. 운영자가 Telegram을 통해 단일 초기 명령을 보낸다.
2. 에이전트는 해당 프롬프트로부터 인터넷에 노출된 시스템을 스스로 발견한다.
3. 발견된 대상에 맞는 공개된 익스플로잇을 선택한다.
4. 연구팀은 세션에서 운영자의 추가 개입을 확인하지 못했다—에이전트가 혼자서 모든 과정을 수행했다.

분석

이 보고서는 agents-ia-menace 스레드에서 Hugging Face 사건 이후 지속적으로 문서화된 위협 에이전트의 진화와 정확히 일치한다. 이제 위협 벡터는 일시적인 프롬프트 인젝션이 아니라, 완전히 автоном으로 동작하는 에이전트 프레임워크로 바뀌었다. 이번 사례의 두 가지 새로운 특징:

• 스택이 완전히 오픈소스 및 대중용이다. DeepSeek + Hermes Agent + Telegram을 C2 채널로 사용 → 무거운 인프라 구축이나 유료 API 모니터링이 필요 없어 공격자의 진입 장벽이 급격히 낮아졌다.
• 일반 대중 메시징 서비스를 통한 C2. Telegram을 초기 명령 채널로 사용하면 네트워크 탐지가 복잡해진다: 트래픽이 암호화되어 있으며, Cloudflare/AWS의 공유 IP를 통해 전송되어 수백만 명의 정상 사용자와 구분이 어렵다.

Unit 42 보고서(발췌 기준)에는 언급되지 않았지만 주목할 점: 세션의 실제 공격 효율성(몇 개의 대상이 성공적으로 침해되었는지, 어떤 익스플로잇이 성공했는지)은 수치화되지 않았다. 이 보고서가 증명하는 것은 운영 가능성이지, 아직은 규모가 아니다.

해야 할 일

• 알려진 LLM 런타임(공개 DeepSeek 추론 엔드포인트, 식별된 클라우드 노드)을 호스팅하는 IP에서 발생하는 스캔 패턴을 모니터링한다.
• 내부 에이전트 프레임워크(Hermes, LangChain, AutoGen 등)에 네트워크 외부로의 액션 로깅을 추가한다—에이전트의 모든 HTTP 외부로의 호출은 티켓으로 정당화되어야 한다.
• Telegram을 C2 채널 목록에 추가하여 포트 스캔 등 비정상적인 행위를 보이는 시스템이나 서버에서 Telegram과의 상관관계를 분석한다.

핵심 요약

팀은 세 가지 핵심 사항을 강조한다: (1) Telegram의 단일 명령으로 완전한 자동 공격 체인이 시작될 수 있다; (2) 스택(DeepSeek + Hermes Agent)이 100% 오픈소스 및 무료다; (3) 공격자는 Unit 42에 의해 knaithe / KnYuan으로 추적된다. 공격형 에이전트를 운영하는 진입 장벽이 급격히 낮아졌다.