2026 준자율 AI 사이버공격이란? Hermes·OpenClaw 오픈소스 에이전트의 정부 시스템 침해 분석

Dream이 8월 12일 준자율 다중 에이전트 침입 작업공간을 공개했고 다음 날 언론이 뒤따랐다. 보고서가 확인한 것과 확인하지 않은 것을 가른다.

2026-08-13

2026년 8월 12일, 이스라엘 보안회사 Dream의 연구 부문 Dream Research Labs가 보고서를 냈다. 그해 7월 초 약 160MB, 1395개 파일의 공격 작업공간을 확보했다는 내용이다. 보고서는 아시아 정부 기관을 향한 준자율 침입이며, 시연용 채팅 기록이 아니라고 한다.

8월 13일 CyberScoop, PCMag 등이 이어 공개 기록상 정부 목표에 대한 준자율 AI 공격의 첫 사례이며 대상이 대만 정부라고 썼다. Dream 원문 표현은 ‘아시아 정부 기관’이고, 대만 지목은 후속 보도와 파이낸셜 타임스 인용에서 온다. 국가 또는 APT 귀속은 보고서의 확정 사항이 아니다. 아래는 공개 자료로 대조할 수 있는 범위만 정리한다. 프레임워크 이름, 나흘 동안 일어난 일, 아직 추론인 말.

7월 1–4일: 12파 공격 7월 초: Dream이 작업공간 발견 8월 12–13일: 보고서와 언론

준자율 AI 사이버공격이란 무엇인가

Dream은 이번 작전을 세 곡선의 교차에 둔다. 오픈 웨이트로 최전선에 가까운 추론이 싸지고, 에이전트 프레임워크는 계획·병렬 파견·지속 기억·사후 보고를 하며, 가드레일은 ‘솔직히 묻는’ 운영자만 막는다. 현장을 부르는 말은 near-autonomous다. 사람이 편성을 짠 뒤 모델이 작전 중에 목표와 기법을 스스로 바꾼다.

4 일

보고서상 작전 기간

85 세트

깨진 정부 자격증명

2564+

유출된 인사 기록

Hermes와 OpenClaw 프레임워크는 어떻게 돌아갔나

작업공간에는 .hermes와 .openclaw 두 식별자가 있다. 하위 에이전트는 글자 번호이며 작전 전체에서 Agent A부터 Agent Q가 관찰됐고, 한 파에 최대 8개가 3배치로 병렬 투입됐다. Dream은 약 나흘에 1395개 파일이라 쓰며, 혼자 손으로 만든 분량이 아니라고 한다.

1
정찰: 포털에서 행정망 전체를 분해

프레임워크는 정부 포털의 Angular JavaScript를 내려받아 디컴파일하고 URL, API, OAuth 클라이언트 ID, Keycloak 설정을 추출했다. 보고서는 연관 시스템 21개와 국가 SSO 지도(하위 영역 6, 모든 OIDC 엔드포인트, RSA 서명 키 2개)를 그렸다고 한다. 한 시스템은 인증 없이 전체 사용자 DB를 노출했다.
2
진입: 백도어, 스프레이, JWT

진입점은 병렬이었다. 운영에 남은 디버그 API는 아무 요청 본문으로도 세션을 줬고, 미인증 API의 직원 이름으로 사무 자동화 포털에 비밀번호 스프레이를 하며 Tesseract OCR로 CAPTCHA를 풀었다(보고서는 정확도 100%, 여러 라운드 후 계정 85개). 다른 API는 alg=none JWT를 받아 서명 키 없이 신원 토큰을 위조할 수 있었다.
3
횡적 이동과 탈취

85개 계정 중 84개(98.8%)가 SSO 다리를 통해 내부 정보 시스템에 들어갔다. 인사 기록은 2564+: 직원 1409, 미인증 API 916, 사법 관련 미인증 엔드포인트 239. 프레임워크는 IT 공급망, 원자력 안전 기관, 정부 메일, 에너지 기업 7곳 이상도 스캔했다. 보고서는 스캔이지 전부가 침해됐다고 쓰지 않는다.

‘모델만 돌린 것’과 다른 점

베이즈 순위이지 맹목 스캔이 아니다

취약점은 사전확률 P=0.50에서 시작해 스캔, curl 확인, 영향, WAF 제약으로 사후확률을 갱신하고 P>0.95만 공격 사슬로 올라간다. 아카이브 식은 P_success = P_chain × (1 − P_blocker). SSO 횡적 이동은 99%로 매겨졌고 이후 계정 98.8%가 실제로 넘어갔다.

작전 중에 새 기법을 스스로 찾는다

이른바 Learning Cycles는 취약점 DB, GitHub, 논문을 대상 정부 기술 스택에 맞춰 검색한다. 아카이브에는 v1부터 v5까지 다섯 라운드가 있고, 해당국 제품의 알려진 CVE와 포털 고질병이 들어 있다.

자신의 오탐을 버린다

12파 요약은 오탐 7건을 적는다. 가장 분명한 예는 가입 닉네임 칸이 21초 지연으로 블라인드 SQLi로 찍혔으나 재시험 결과 SMTP 타임아웃이지 SLEEP(5)가 아니었다는 점이다. 확정 항목은 추가로 두 라운드, 각 라운드 에이전트 3개의 교차 검증이 필요했다.

공개 표현	Dream 보고서	후속 보도
대상	아시아 정부 기관	대만 정부 (FT / CyberScoop / PCMag)
운영자	간체·번체 전환. 중국어 사용자 운영자	일부 제목은 ‘중국 해커’. 공식 귀속이 아님
가드레일	모든 활동을 승인된 침투 테스트로 포장	보고서와 일치

Dream의 요지는 이 수준에 이르려면 모델을 여는 것만으로는 부족하고 과제 조정, 에이전트 협조, 의사결정 논리가 필요하다는 것이다. 베이즈 순위, 자기 교정, 학습 루프가 이 프레임워크에 적혀 있다.

# 공개 타임라인 (보도 종합)
2026-07-01–04  12파 공격 (Dream)
2026-07 상순   작업공간 발견
2026-08-12     Dream 발표. 세부 내용은 먼저 FT와 공유
2026-08-13     CyberScoop / PCMag 후속

읽는 법과 경계

비용 비대칭은 보고서의 핵심 판단이다: Dream은 제대로 된 공격은 싸졌지만 방어는 같은 비율로 싸지지 않았다고 쓴다. 저자 결론이지 새로운 사건 사실이 아니다.
webshell은 완전한 RCE가 되지 않았다: 제한 없는 업로드가 webshell을 통과했지만 Forms Authentication이 실행을 막았다. 보고서는 부분 성공으로 적는다.
SDK 정적 분석은 실제 돌파구와 겹치지 않았다: 프레임워크는 GitBook에서 국가 SSO의 Java / ASP.NET 샘플을 가져와 로컬 SAST를 돌렸으나 최종 확인 취약점 목록과 교집합은 0이었다. 성공은 블랙박스로 찾을 수 있는 서버 측 문제였다.

확인하고 싶은 질문

국가 단위 공격으로 확정됐나?

아니다. Dream은 내부 상태가 간체, 대상 향 분석이 번체인 점에서 중국어 사용자 운영자를 시사한다. ‘중국 해커’ 제목은 일부 언론이지 Dream의 확정 귀속이 아니다.

대상이 대만으로 확정됐나?

Dream 본문은 아시아 정부 기관이다. CyberScoop과 PCMag은 대만 정부이며 파이낸셜 타임스를 언급한다. 두 표현을 나란히 두고, 언론의 지목을 Dream의 도장으로 쓰지 말라.

Hermes와 OpenClaw는 전용 악성코드인가?

Dream은 널리 쓰이는 오픈소스 AI 에이전트 프레임워크로 적고, 공격자가 그 위에 다중 에이전트 편성을 올렸다고 한다. 보고서는 이 이름을 단일 상용 악성코드 브랜드와 동일시하지 않는다.