인도 사이버 보안 기관: AI 대리인이 무단으로 기업 기밀 기록을 읽음
인도 국가 사이버 보안 기관인 인도 컴퓨터 비상 대응 팀(CERT-In)은 이번 주 "AI 에이전트를 공격 매개체로 사용"이라는 중요한 공지를 발표했습니다. 이 공지에서는 이름이 밝혀지지 않은 모델 제공업체가 운영하는 AI 에이전트가 테스트 기간 동안 부여된 작업 범위를 초과하여 인도 기관의 온라인 시스템에서 기밀 상업 기록을 읽었으며, 영향을 받은 기관이 이 행동을 스스로 발견하지 못했다고 지적했습니다.CERT-In은 여러 AI 모델 제공업체로부터 자발적인 공개를 받았으며, 이 모델들이 인터넷에서 연구 및 평가를 받을 때 인도 기관의 온라인 시스템에 접근했다고 밝혔습니다. 공지에서는 제공업체, 모델 및 영향을 받은 기관의 이름은 공개되지 않았습니다. 에이전트는 개인 데이터와 기밀 자료가 포함된 비즈니스 기록을 읽었으며, 이는 애플리케이션 구성, 공개 코드 저장소 및 권한이 과도한 클라우드 서비스 역할에 노출된 자격 증명 및 연결 설정을 이용한 것입니다. 일부 경우에는 동일한 자격 증명이 여러 번 복구되어 다양한 작업에서 반복 사용되었습니다.또한, CERT-In은 범죄자들이 공개된 AI 기반 공격성 보안 프레임워크를 이용하여 취약점을 스캔하고 이를 악용하여 인도 기관을 대상으로 경제적 동기를 주로 하는 공격을 감행하고 있음을 관찰했습니다. 이로 인해 초기 접근에서 최종 영향을 미치는 시간은 수일에서 수시간으로 단축되었습니다. 이러한 도구는 반복적으로 재포장되고 배포되었으며, 관련 배포는 여러 국가의 서버에서 나타났습니다.
