10월 11일에서 12일로 넘어가는 밤, 프랑스 슈퍼마켓 수백 곳의 냉장 시스템이 새로운 명령을 받았고, 그 명령에 따랐습니다.
공격자들은 냉장 제어기를 장악해 장비를 연속 제상 모드에 고정시켰고, 온도를 약 50°C까지 끌어올렸습니다. 아침이 되자 해당 매장들의 냉장·냉동 식품은 모두 못 쓰게 되었습니다. 보도에 따르면 피해를 입은 프랑스 매장은 최대 700곳에 달하며, Intermarché와 Carrefour 등이 피해 체인으로 거론되었고, 손실액은 수백만 단위에 이르렀습니다.
그 중심에 있던 제어기는 덴마크 산업 제조사 Danfoss가 만든 냉장 조절기로, AK-SM 800과 AK-SC 355 등이 포함됩니다. Danfoss의 자체 발표에 따르면, 영향을 받은 장비 대부분은 오래된 소프트웨어를 실행 중이거나 지원 수명이 끝난 구형 제품이었습니다.
그리고 11월 2일, 같은 일이 다시 일어났습니다. 벨기에, 룩셈부르크, 스웨덴, 에스토니아, 아일랜드의 소매업체들이 같은 제상 수법에 의한 두 번째 온도 급상승 사태를 보고했습니다.
누구도 문을 부수고 들어오지 않았습니다. 그럴 필요가 없었습니다. 기계들은 연결되어 있었고, 명령을 기다리고 있었으며, 지시받은 대로 행동했습니다.
실제로 무엇이 실패했는가
헤드라인을 걷어 내면 이 공격은 거의 지루할 만큼 단순합니다. 바로 그 점이 이 공격을 중요하게 만듭니다.
냉장 제어기는 중대한 물리적 행동을 취할 수 있는 인터넷 연결 기계였습니다. 이번 경우에는 하룻밤 사이에 매장의 냉장 재고 전체를 망가뜨리는 행동이었습니다. 제어기는 누가 명령을 내리는지, 그 명령이 승인된 것인지에 대한 의미 있는 검증 없이 원격 명령을 받아들였습니다. 중요한 명령에 대한 승인 기록도 없었고, 그 순간에도 사후에도 가장 기본적인 질문에 답할 수 있는 것이 없었습니다. 누가 그렇게 하라고 지시했으며, 그들에게 그럴 권한이 있었는가?
취약점도 비밀이 아니었습니다. Claroty의 Team82는 8월에 Danfoss 제어기의 결함에 대한 연구를 발표했는데, 여기에는 공격자에게 관리자 권한을 줄 수 있는 숨겨진 로그인도 포함되어 있었습니다. 조사관들은 공격자들이 어떤 취약점을 이용했는지 확인하지 않았지만, 이런 유형의 문제는 공격 두 달 전에 이미 공개되어 있었고, 아무도 지속적으로 지켜보지 않는 레거시 시스템 안에 방치되어 있었습니다. 대부분의 환경에서 지속적으로 지켜보는 일은 누구의 업무도 아니기 때문입니다. 인벤토리를 한 번 작성합니다. 보고서를 제출합니다. 환경은 계속 변하지만, 보고서는 그대로입니다.
기존 보안이 이것을 놓치는 이유
기존 보안 모델은 더 느린 세상을 위해 만들어졌습니다. 연례 평가, 특정 시점의 모의 침투 테스트, 인쇄해 보관하는 자산 인벤토리. 이 산출물들은 만들어진 날부터 낡아 가기 시작합니다. 연결된 환경(클라우드 계정, SaaS, 기기, 그리고 이제는 소프트웨어 에이전트)은 매일 바뀌고, 공격자는 다음 정기 검토를 기다려 주지 않습니다.
작년 인벤토리에서 “수용 가능한 위험”이었던 제어기가 올해의 헤드라인이 됩니다. 8월에 공개된 취약점은 10월이면 무기가 됩니다. 특정 시점의 보안은 움직이는 표적을 볼 수 없고, 추론된 위험 점수는 알려진 허점이 귀사의 환경에서 실제로 도달 가능하고 악용 가능한지, 아니면 이론에 불과한지 알려 주지 못합니다. 평가와 공격 사이의 간극, 바로 그곳에서 현대의 사고가 일어납니다.
Redthread는 이 패턴에 어떻게 맞서는가
Redthread는 두 가지 신념을 중심으로 만들어진 AI 네이티브 애플리케이션 보호 플랫폼입니다. 보안은 지속적이어야 하고, 발견 사항은 입증되어야 한다는 것입니다.
저희의 평가 플랫폼은 에이전트 없는 방식을 우선합니다. 시작하는 데 귀사의 환경에 아무것도 설치하지 않습니다. 먼저 운영 중인 모든 것(애플리케이션, 코드, 클라우드 계정, 머신, 신원, 그리고 이들이 도달할 수 있는 데이터)을 하나의 컨텍스트 그래프로 구축하고, 이를 Redthread Flow에 표시합니다. 그곳에서 공격 경로는 심각도에 따라 순위가 매겨지고 정직하게 표시됩니다. “입증됨”은 저희 엔진이 그 경로의 한 단계를 실행해 확인했다는 뜻이고, “잠재”는 구성상 존재하지만 실행되지는 않았다는 뜻입니다. 모든 모듈이 같은 지도를 기반으로 작동합니다.
연례 스냅샷 대신 지속적으로 평가합니다. 연결 과정은 일부러 지루할 만큼 단순하게 만들었습니다. 웹사이트는 자격 증명이 필요 없고, GitHub는 클릭 한 번이면 되며, 각 클라우드는 클릭 한 번으로 읽기 전용 연결되고, 엔드포인트 센서는 명령 하나로 설치되며 오직 감시만 할 뿐 결코 차단하지 않습니다. 스캔은 아무도 등록하지 않은 섀도 AI와 노출된 시스템을 포함해 실제로 운영 중인 것을 찾아내고, 클라우드 보안 태세와 민감한 데이터 저장소(DSPM)를 매핑하며, 크로스 클라우드 공격 경로를 구축합니다. 그래서 위험은 고립된 발견 사항의 개수가 아니라 공격자가 귀사의 환경을 실제로 어떻게 이동할 수 있는지에 따라 순위가 매겨집니다. 플랫폼이 취약점을 보고하는 경우, 이를 실제로 익스플로잇하고 재현 가능한 개념 증명을 만들어 발견 사항을 검증합니다. 허점이 실재한다는 증거이지, 결코 추론된 점수가 아닙니다. CI/CD 게이트는 새로 입증된 공격 경로가 배포되기 전에 차단하고, 지속적인 재평가는 배포 이후에 바뀌는 것을 포착하며, 조치 지원과 증명서(Letter of Attestation)는 귀사의 팀과 고객사 보안 검토자에게 믿을 수 있는 증거를 제공합니다.
두 번째 제품인 Agentic Trust & Protection Platform(ATPP, trust.redthreadsec.com)은 이 실패 패턴이 다음으로 향하는 곳을 다룹니다. 냉장 제어기는 명령에 따라 행동하는 기계였습니다. AI 에이전트는 명령에 따라 행동하는 새로운 기계입니다. 다만 이들은 어떤 냉장고도 근처에 가 보지 못한 규모와 속도로 웹을 탐색하고, 구매하고, 코드를 작성하고, 데이터를 옮기고, 도구를 호출합니다. ATPP는 모든 에이전트에 빌드에 결합된 암호학적 신원을 부여하고, 신원과 도구 주장을 호출 시점에(사후 보고서가 아니라 행동하는 순간에) 검증하며, 누가 무엇을 승인했는지 증명하는 위임 영수증을 발급합니다. 도구가 승인된 상태에서 벗어나면 폐기가 전파됩니다. 그리고 에이전트 공급망은 이미 실제 환경에서 악용되고 있기 때문에, 저희는 MCP 레지스트리 전체에 대한 일일 서명 스캔을 실행하며, 날마다 서명된 매니페스트는 공개 Sigstore Rekor 투명성 로그에 고정되므로 저희의 주장 역시 검증할 수 있습니다. 11월 2일 스캔은 공식 MCP 레지스트리의 서버 55,375개를 대상으로 했으며, 등록 항목 뒤의 코드가 같은 이름 아래 다른 사람의 손으로 넘어간 등록 항목 바꿔치기 1,518건을 발견했습니다. 이러한 신호에 따라 인라인으로 대응하는 집행 게이트웨이는 미리 보기 단계이며, 신원, 검증, 증거 계층은 현재 제공 중입니다.
슈퍼마켓이 던진 질문, 즉 누가 이 기계에게 그렇게 하라고 지시했는가는 곧 모든 기업의 AI 배포에도 던져질 것입니다. 저희는 그 질문에 답할 수 있는 계층을 만듭니다.
함께 만들어 갑시다
저희는 프로덕션 시스템을 운영하는 젊은 회사이며, 분명한 신념을 가지고 있습니다. 앞으로 10년의 보안은 기계를 패치하는 것만이 아니라 기계를 검증하는 일이라는 것입니다. 저희는 이 기술을 현장에서 함께 강화하고자 하는 팀을 위해 창립 디자인 파트너 자리를 두세 곳 엽니다. 파일럿은 30~45일 동안 무료이며, 지금 합류하는 파트너에게는 대폭 할인된 창립 파트너 가격이 고정으로 적용됩니다.
또는 더 간단하게 시작하세요. 무료 셀프 서비스 환경 스캔을 실행하고 지속적이고 입증된 평가가 귀사의 환경에서 무엇을 찾아내는지 확인해 보세요. 기계는 이미 명령을 받고 있습니다. 그 명령이 귀사의 명령인지 확인하세요.