헤르메스 AI 에이전트, 태국 재무부 공격 자동화에 사용

핵심 요약

위협 행위자가 태국 재무부 침해 의혹 사건에서 오픈소스 헤르메스 AI 에이전트를 'YOLO' 모드로 사용하여 사후 악용 활동을 자동화했습니다. 이는 AI 기술이 공격 자동화에 활용되어 Initial Access(TA0001) 이후 시스템 내에서 지속적인 악성 행위를 효율적으로 수행할 수 있음을 보여줍니다. IT 감사인은 AI 기반 공격 자동화 도구의 등장을 인지하고, 기존 보안 통제 및 탐지 시스템이 이러한 진화된 위협에 효과적으로 대응할 수 있는지 평가해야 합니다.

💡 개선 권고안

• ✔기술적 조치EDR, SIEM, 네트워크 이상 행위 탐지 시스템 등 도입된 보안 솔루션의 탐지 및 대응 규칙을 AI 기반 공격 자동화 도구의 특성(예: 비정상적인 프로세스 실행, 내부망 스캔, 데이터 유출 패턴)을 반영하여 지속적으로 고도화하고, 오탐 및 미탐을 최소화하기 위한 정기적인 튜닝 및 성능 검증 절차를 수립 및 적용해야 함을 권고함.
• ✔기술적 조치내부 시스템 침해 후 발생하는 사후 악용 활동을 효과적으로 탐지하기 위해, 사용자 및 시스템 행위 분석(UEBA) 솔루션 도입을 검토하고, 기존 시스템과의 연동을 통해 이상 행위 발생 시 즉각적인 경보 및 차단이 이루어지도록 시스템을 강화할 것을 권고함.
• ✔관리적 조치AI 기반 공격 자동화 도구의 위협 동향을 지속적으로 모니터링하고, 이를 조직의 위협 모델링 및 위험 평가 프로세스에 반영하여 잠재적 위협에 대한 선제적 대응 전략을 수립 및 시행할 것을 권고함.
• ✔관리적 조치오픈소스 소프트웨어 및 도구 사용에 대한 보안 정책을 강화하고, 사용 전 보안 취약점 점검 및 검증 절차를 의무화하며, 주기적인 보안 업데이트 및 패치 관리를 통해 알려진 취약점 악용을 방지할 것을 권고함.
• ✔관리적 조치침해사고 발생 시 AI 기반 공격 도구에 의한 사후 악용 활동을 식별하고 대응할 수 있도록 침해사고 대응팀의 역량을 강화하고, 관련 시나리오를 포함한 모의 훈련을 정기적으로 실시할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문