AI 모델 4개가 다음 공격을 투표로 고르는 CLOSEDQUORUM의 자율 C2 구조

2026년 9월 25일 Cisco Talos는 CLOSEDQUORUM이라는 Windows용 악성코드 분석 결과를 발표했다. 이 프로그램은 공격자가 운영하는 전용 지휘·통제 서버에서 계속 명령을 받는 대신, 상용 대규모 언어 모델에 다음 행동을 물어본다. DeepSeek, Qwen, Mistral, Google Gemini 등 최대 4개 모델의 답변을 차례로 취합하고, 가장 많은 표를 얻은 행동을 실행하는 구조다. Talos는 이런 방식을 전술적 C2 결정에 적용한 공개 문서화 Windows 임플란트로는 자신들이 아는 첫 사례라고 설명했다.

이 발견이 실제 침해 환경에서의 운용을 입증하는 것은 아니다. Talos에 따르면 공개 배포본에는 자리표시자 API 키와 더미 웹훅이 들어 있어 연구진은 전체 구조가 끝까지 작동하는 모습을 관찰하지 못했다. 다만 정적 분석으로 자율 의사결정 루프의 세부 구현을 확인했고, 개발용 빌드에서는 공급자 인증 정보를 빌드 시점에 주입하는 방식도 확인했다. 바이너리의 흔적을 2025년부터의 카드 범죄 관련 포럼 게시물과 연결했다는 설명도 있으나, 이는 Talos가 제시한 개발자 연계 정황으로 보아야 한다.

전용 서버 대신 상용 AI 서비스를 C2 경로로 사용

일반적인 C2 인프라는 공격자가 도메인, IP 주소, 프로토콜, 수신 서버를 운영하는 방식이다. 방어 조직은 이 인프라를 추적하거나 차단할 수 있고, 위협 인텔리전스와 인증서 관련 기록도 단서가 될 수 있다. CLOSEDQUORUM은 단일 공격자 서버를 중심에 두기보다, 다수의 정상 애플리케이션도 이용하는 상용 AI 서비스의 엔드포인트를 의사결정 경로에 넣는다. 따라서 특정 목적지와의 연결만으로는 악성 여부를 판단하기 어렵고, 같은 프로세스가 무엇을 했는지를 함께 살피는 방식이 필요하다.

Talos는 이를 공격자의 ‘노력 이전’으로 설명한다. 지금까지 AI 기반 공격 논의는 피싱 문구 작성, 악성코드 변종 생성, 침입 보조의 속도와 규모에 집중됐다. 그런 경우에도 사람 운영자는 보통 표적을 선택하고 도구를 지시하며 실행을 관리한다. CLOSEDQUORUM은 공격 사슬의 한 단계를 시스템에 넘기려는 설계다. 그러나 모델이 자유롭게 공격 기법을 발명하는 것은 아니다. 작성자가 미리 넣어 둔 기능 가운데 무엇을 실행할지, 정해진 형식 안에서 선택하도록 제한한 구조다.

분석 대상은 Go로 컴파일된 16.4MB 크기의 64비트 Windows 실행 파일이다. 초기화 과정에서 호스트 이름, 운영체제 아키텍처, CPU 수, Windows 버전, 관리자 권한 여부를 수집해 모델 프롬프트에 넣는다. 대상 프로세스 정보는 각 실행 주기마다 갱신된다. 모델 응답은 지정된 JSON 형식과 일치해야 하며, Decision 값은 프로그램이 알고 있는 기능에 연결돼야 한다. 형식이 틀리거나 지원하지 않는 값은 버려진다. 즉, 자동화된 판단은 존재하지만 실행 범위는 악성코드 작성자가 정한 선택지 안에 묶여 있다.

• ‘steal’은 LSASS 메모리의 Windows 자격 증명, Chrome·Edge·Firefox 저장 비밀번호, MetaMask·Exodus·Ethereum 관련 지갑 데이터를 동시에 노린다.
• ‘inject’는 셸코드를 만든 뒤 제안된 방식에 따라 프로세스 할로잉 또는 APC 기반 주입 처리로 분기한다.
• ‘persist’는 지속성 확보 기능을 호출한다. ‘move’는 의사결정 값에는 들어 있지만 공개 배포본에 대응 처리 기능이 없다.
• Talos 설명에 따르면 탈취 자료는 AES-256-GCM으로 암호화된 뒤 Base64 코드 블록 형태로 운영자의 Discord 웹훅에 전송된다.

다수결 방식이지만 동점이면 고정된 우선순위

프로그램은 각 AI 공급자를 순서대로 조회하고, 응답을 모아 가장 많은 표를 받은 Decision을 고른다. 여러 공급자를 쓰는 목적은 한 모델의 거부, 시간 초과, 잘못된 형식의 응답이 전체 흐름을 멈추게 할 가능성을 줄이는 데 있다. 그러나 유효한 결론을 반드시 얻는 것은 아니다. 모든 모델이 실패하면 기능 처리기에 연결되지 않는 대체 문자열이 반환되고, 프로그램은 기본 행동을 실행하지 않은 채 잠시 대기한 뒤 다시 시도한다고 Talos는 밝혔다.

동점 처리 방식은 이 시스템의 한계를 잘 보여 준다. Talos 분석에 따르면 응답은 DeepSeek, Qwen, Mistral, Gemini 순서로 처리되며, 최대값을 찾는 비교 방식 때문에 먼저 등장한 동률 최다 득표가 남는다. 그 결과 DeepSeek가 동점 상황에서 사실상 결정권을 가지며, 해당 모델이 실패했다면 Qwen이 그 자리를 잇는다. 따라서 네 모델이 ‘합의’한다는 표현은 토론을 거쳐 결론을 만드는 과정이라기보다, 우선순위가 내장된 표 집계 규칙에 가깝다.

승리한 결정뿐 아니라 모델의 Reasoning 값, 대상 프로세스, 공격 방식, 회피 방법, 페이로드 설정, 모델 이름, 시각도 Discord로 전송된다고 한다. 이는 공격자에게 실행 원격 측정 정보를 주는 한편, 방어자에게는 행동 연결고리를 제공한다. 짧은 시간 안에 여러 AI 공급자에 접속하는 이례적인 Windows 프로세스가 동시에 LSASS에 접근하고, 중지된 프로세스를 만들거나 지속성을 시도하며, Discord와 통신한다면 단일 네트워크 이벤트보다 훨씬 우선적인 조사 대상이 될 수 있다.

탐지는 AI 연결 하나가 아니라 행동 묶음에서

Talos가 제시한 관찰 가능 신호는 약 5분에서 15분 간격의 반복 실행, 예상하지 못한 Windows 실행 파일의 AI 공급자 API 접속, 짧은 시간에 여러 공급자에 보내는 유사 요청, 같은 프로세스 또는 호스트의 Discord 웹훅 통신이다. 프롬프트 안의 호스트 정보나 공격 기능 관련 문구를 확인하려면 TLS 검사 또는 공급자 측 원격 측정이 필요할 가능성이 크다. 어느 하나의 신호만으로 감염을 단정해서는 안 된다. 정상적인 기업용 AI 도구와 협업용 통신도 비슷한 목적지를 사용할 수 있기 때문이다.

한국의 기업과 공공기관에는 생성형 AI 서비스 자체를 일괄 차단하기보다, 어떤 Windows 프로세스가 외부 AI API와 통신할 수 있는지 파악하고 단말·네트워크·인증 로그를 함께 분석하는 운영이 현실적이다. LSASS 접근, 브라우저 자격 증명 접근, 프로세스 주입, 지속성 생성, 웹훅 통신을 교차 탐지할 수 있어야 한다. 업무용 AI 사용이 허용된 환경이라면 승인된 애플리케이션, 계정, 통신 대상, 사용 목적을 기록해 두는 일도 조사 정확도를 높이는 기본 통제가 된다.

Talos는 같은 날 AI 통합형 악성코드를 추적하기 위한 오픈소스 연구 도구 CAIRN도 공개했고, CLOSEDQUORUM을 그 첫 사례로 제시했다. 공개 샘플의 실전 배포는 확인되지 않았으므로 이 사례만으로 완전 자율 공격이 일반화됐다고 볼 수는 없다. 다만 기존의 정보 탈취, 주입, 지속성 기능 위에 제한된 AI 선택 절차를 올려놓는 구조는 구체적으로 드러났다. 조직은 기존 엔드포인트 방어와 로그 분석 체계를 유지하면서, 이런 상관 행동을 식별할 수 있는지 점검할 필요가 있다.