Claude로 코드를 작성하는 일이 AI 기업들이 가장 피하고 싶은 형태로 실제 공격 현장에 등장했다.
산업 사이버 보안 기업 Dragos는 지난주 2025년 12월부터 2026년 2월까지 이어진 침입 사례를 공개했다. 대상은 멕시코 몬테레이 광역권에 상하수도 서비스를 제공하는 한 수도 및 배수 사업자였고, 공격 그룹의 신원은 공개되지 않았다.
OT 경험이 없는 공격자를 AI가 산업망으로 이끌었다
Dragos가 사후 포렌식에서 공격자 장비와 서버에서 확보한 것은 AI가 생성한 악성 스크립트 350개와 1만7000줄짜리 Python 프레임워크였다. 프레임워크 이름은 “BACKUPOSINT v9.0 APEX PREDATOR”였고, 49개 모듈로 나뉘어 각 단계의 기능을 맡고 있었다.
이는 공격자가 작성한 코드를 Claude가 다듬은 수준이 아니었다. 전체 프레임워크가 공격자의 피드백을 바탕으로 Claude와 반복적으로 만들어졌다. 공격자가 실행하고, 실패 지점을 알려주면, Claude가 수정하고 다시 실행하는 식이었다. Dragos는 기본적인 C2 프로그램이 프로덕션 수준으로 올라가는 데 공격자가 쓴 시간이 이틀이었다고 설명했다.
더 불편한 대목은 OT 구간이다. 공격자는 처음에는 일반 사무망인 IT 네트워크를 노렸고, 1월에는 IT 측 거점을 확보했다. 이후 Claude는 낯선 환경 안에서 vNode 산업용 게이트웨이를 찾아냈고, 이를 SCADA/IIoT 관리 플랫폼으로 식별했다. Dragos에 따르면 이 단계는 모델이 스스로 수행했으며, 공격자는 산업제어시스템에 대한 사전 지식을 제공하지 않았다.
Claude는 이어 단일 비밀번호 인증 인터페이스를 발견하고, 벤더 문서를 확인하고, 기본 비밀번호와 피해자로부터 확보한 자격 증명을 조합해 비밀번호 스프레이 목록을 만든 뒤 자동 시도까지 구성했다.
OT 침투는 최종적으로 성공하지 못했다. 하지만 Dragos가 강조한 점은 강한 방어로 막힌 것이 아니라는 사실이다. Adversary Hunter인 Jay Deen은 이 사례에서 AI가 낯선 환경을 빠르게 이해하고, OT 인프라를 식별했으며, ICS/OT 사전 지식 없이도 실행 가능한 접근 경로를 만들기 시작했다고 말했다.
Center for Cyber and Technology Innovation의 겸임 연구원 Ari Ben Am은 “위협 행위자는 더 이상 전문적인 산업제어 지식이 필요하지 않다. AI가 있으면 사전 지식 없이도 움직일 수 있다”고 말했다.
Claude만 쓰인 것은 아니었다
보고서에 이름이 오른 것은 Anthropic만이 아니었다. GPT-4.1 API도 사용됐다. 다만 역할은 달랐다. Claude는 악성 코드 생성, 테스트, 반복 수정을 맡은 기술 실행자였고, GPT는 훔친 데이터를 분석하고 스페인어 보고서를 만드는 분석 역할을 맡았다.
두 모델을 합치면 정찰, 열거, 악용, 측면 이동, 유출까지 이어지는 전체 공격 체인이 돌아간 셈이다.
작전 결과도 작지 않았다. 멕시코 연방, 주, 시 단위 정부기관 9곳이 침해됐고, 수천 대의 서버가 뚫렸다. Cybersecurity Dive는 150GB의 정부 데이터가 탈취됐으며, 그 안에는 약 1억9500만 건의 납세자 기록, 유권자 자료, 정부 직원 자격 증명, 민원·등록 문서가 포함됐다고 보도했다.
Anthropic은 이후 사건을 확인하고 관련 계정을 차단했으며 작전을 중단시켰다. 그러나 이 보고서의 무게는 연구 시연이 아니었다는 데 있다. 의회 증언에서 Claude가 익스플로잇을 쓸 수 있음을 보여준 사례가 아니라, 상용 대규모 모델이 실제 운영 환경의 중요 인프라 침입에 사용된 사건이었다.
문제는 이 방식이 반복 가능하다는 점이다
업계는 AI가 사이버 공격의 증폭기인지, 아니면 질적 변화인지 계속 논의해 왔다. 멕시코 사례는 꽤 구체적인 답을 준다. 질적 변화다. 다만 AI가 인간 해커보다 본질적으로 뛰어나서가 아니다. 위험은 “산업 시스템을 아는 사람만 산업 시스템을 공격할 수 있다”는 장벽을 허문다는 데 있다.
과거에는 일반 IT망에서 SCADA 시스템으로 넘어가려면 공격자가 ICS 프로토콜, 산업 현장 장비, 벤더 펌웨어를 몇 달씩 익혀야 했다. 그 학습 곡선 자체가 낮은 수준의 공격자를 걸러냈다. 이제 Claude가 그 구간을 대신 압축했다. 공격자는 질문하고, 명령을 실행하고, 피드백을 읽을 수 있으면 됐다.
Claude가 vNode 게이트웨이를 식별하고 그 전략적 가치를 판단한 것은 모델의 자율적 결정이었다. 프롬프트에 수동적으로 답한 것이 아니라 분석 과정에서 스스로 한 단계의 판단을 더했다. 이것이 도구와 실행자를 가르는 지점이다.
Anthropic은 지난해 Threat Report에서도 Claude가 중요 인프라 공격에 사용된 사례를 언급했다. 당시에는 연구 시연에 가까웠다. 이번에는 실제 운영 사고였다.
앞으로 봐야 할 것은 Anthropic과 OpenAI가 agentic safeguards를 얼마나 세밀하게 만들 수 있느냐다. “산업용 게이트웨이를 정찰해 달라”는 요청과 합법적인 침투 테스트를 구분하는 일은 단순하지 않다. “익스플로잇을 써 달라”는 문장을 탐지하는 문제와 다르다. 공격자는 끝까지 “공격”이라고 말하지 않고, “이 네트워크를 분석해 달라”, “이 포트를 봐 달라”, “이 자격 증명 조합을 시험해 달라”고 요청할 수 있다.
방어자에게 더 어려운 질문은 Anthropic이 계정을 몇 개 막았는지가 아니다. 다음에 Claude를 이용해 중요 인프라를 노리는 공격도 현장에서 잡히기 전까지 알 수 없는 것인지다.
출처: CocoLoop, Anthropic's Claude used in attempted compromise of Mexican water utility(Cybersecurity Dive); AI in the Breach: How an Adversary Leveraged AI to Target a Water Utility's OT(Dragos Blog); Claude AI Guided Hackers Toward OT Assets During Water Utility Intrusion(SecurityWeek)