Huntress의 보안 운영 센터가 지난 9개월 동안 관찰한 바에 따르면, 인공지능 플랫폼의 일부 신뢰받는 기능이 새로운 공격 표면으로 변했다. 공격자들은 인공지능 모델이나 이를 개발하는 기업을 직접 공격하는 대신, 공유 가능한 콘텐츠, 공개적으로 게시된 소형 애플리케이션, 유료 검색 결과를 악용해 해당 플랫폼 사용자에게 접근했다.
Huntress가 관찰한 경로에는 Claude Artifacts 콘텐츠, Claude 대화 공유 링크, 색인될 수 있는 ChatGPT 및 Grok 대화가 포함된다. 이러한 캠페인은 콘텐츠가 잘 알려진 도메인 안에 존재하고 사용자에게 익숙한 디자인을 사용한다는 점을 활용하므로, 다운로드 지침이나 코드 명령이 합법적으로 보인다. 서비스 제공업체가 몇 시간 또는 며칠 안에 콘텐츠를 제거하더라도, 짧은 기간만으로도 피해자에게 접근하기에는 충분할 수 있다.
FakeAgent 캠페인, Claude Artifacts 악용
Huntress는 7월에 FakeAgent라는 이름의 캠페인을 발견했으며, 29개 이상의 기관이 피해를 입었다. 이 캠페인은 Claude 플랫폼에 속한 실제 도메인인 claude.ai에 호스팅된 악성 Claude Artifact를 생성하는 것으로 시작됐다. 해당 자료에 따르면 공격자들은 가짜 Claude Desktop 애플리케이션 다운로드 페이지를 제작했다. 공개 Artifacts가 가벼운 시연을 위한 것이며 일반적인 경고를 제외하면 광범위한 검사를 받지 않는다는 점을 이용한 것이다.
Bing에서 Claude Desktop 애플리케이션을 검색한 사용자들은 가짜 페이지로 이동했고, 이후 다운로드 링크는 SectopRAT 악성 소프트웨어를 배포하는 외부 도메인으로 연결됐다. Huntress가 해당 Artifact를 신고한 뒤 Anthropic은 7월 22일까지 이를 제거했지만, 동일한 리디렉션 도메인과 관련된 활동은 8월에도 계속됐다.
공유 링크 안의 가짜 설치 안내서
또 다른 사건에서는 Google에서 «Mac용 Claude»를 검색할 때 표시되는 유료 광고가 Apple 지원에서 제공하는 설치 안내서인 것처럼 가장한 claude.ai/share 링크로 연결됐다. Anthropic의 도메인 안에 페이지가 존재했기 때문에 사이트 주소가 다르거나 인증서 관련 경고가 표시되는 등 일반적인 경고 신호가 사라졌다.
이 안내서는 피해자에게 Terminal에 curl 명령을 붙여 넣도록 요청했고, 이는 데이터 탈취용 MacSync 악성 소프트웨어 설치로 끝나는 6단계의 연쇄 과정을 시작했다. 표적이 된 데이터에는 쿠키, 자격 증명, Keychain 비밀 정보, Telegram 세션, SSH 키 및 클라우드 키가 포함됐다.
실제로 무엇이 달라지는가?
이 사례들은 잘 알려진 플랫폼 안에 콘텐츠가 표시된다는 사실만으로는 더 이상 안전성을 충분히 입증할 수 없음을 보여준다. 링크의 도메인은 올바를 수 있지만, 지침이나 다운로드 대상 또는 실행하도록 요구되는 명령은 악성일 수 있다. Huntress는 ChatGPT와 Grok에서 색인된 검색 결과와 대화를 오염시키는 또 다른 패턴도 관찰했다. 이로 인해 macOS에서 공간을 확보하는 방법을 찾는 경우처럼 장애 해결 요청에 대해 정상적인 해결책 대신 ClickFix-style 지침이 표시됐다.
사용자와 지원팀에게 가장 중요한 결론은 플랫폼 이름이나 도메인을 신뢰하는 데 그치지 말고 지침 자체와 파일 및 명령의 출처를 확인해야 한다는 것이다. 이용 가능한 자료에서는 마지막 패턴에 대한 세부 정보가 제한적이므로, 해당 출처만으로는 전체 범위나 피해자 수를 특정할 수 없다.