[해외보안뉴스] 노출된 Docker 호스트 노리는 Carbonato 봇넷, 텔레그램 제어형 'Hermes AI 에이전트' 배포
· 2026-09-28 14:00
· 조회 21
· 원문 ↗
새로운 봇넷 악성코드인 'Carbonato'가 외부로 노출된 Docker 데몬(Docker Daemon)을 집중적으로 공격하고 있다는 보안 연구원들의 분석 결과가 공개되었습니다. 보안 전문 기업 ThreatDown에 따르면, 공격자들은 접근 제어가 설정되지 않은 Docker 호스트의 권한을 탈취한 뒤 오픈소스 인공지능(AI) 에이전트 프레임워크인 'Hermes Agent'를 악의적으로 설치하고 있는 것으로 확인되었습니다.
이번 공격의 핵심은 정상적인 AI 프레임워크를 그대로 설치한 후, AI의 페르소나와 행동 지침을 정의하는 'SOUL.md' 파일만을 교체하는 방식입니다. 변조된 39줄 분량의 프롬프트는 AI 에이전트가 텔레그램(Telegram) 명령 제어(C2) 채널을 통해 전달되는 악성 명령과 작업을 모니터링하고 자동으로 실행하도록 지시합니다. 이로 인해 외부 인터넷에 노출된 Docker 호스트를 운용하는 개발자 및 기업 서버가 공격자의 AI 기반 봇넷 인프라로 악용될 위험에 노출되었습니다.
이러한 피해를 방지하기 위해 관리자는 인터넷에 직접 노출된 Docker API 포트(기본 2375/2376)를 즉시 비공개로 전환하거나 TLS 인증을 적용해 접근 제어를 강화해야 합니다. 또한, 컨테이너 내에서 허가되지 않은 AI 에이전트 프로세스가 실행되거나 텔레그램 API로 향하는 의심스러운 outbound 네트워크 트래픽이 발생하는지 주기적으로 모니터링하는 것이 필요합니다.
♥ 추천 0
Docker Daemon API를 인증 없이 외부에 노출하는 인프라 설정 오류가 AI 에이전트 하이재킹으로 이어진 전형적인 사례입니다.
공격자가 오픈소스 AI 프레임워크를 그대로 설치한 뒤
SOUL.md같은 시스템 프롬프트 파일만 덮어써서 봇넷 제어용으로 악용한 점이 매우 위협적입니다.개발 및 운용 관점에서는 Docker API에 반드시 TLS 인증과 Strict한 IP 접근 제어를 적용하고, AI 에이전트 구동 시 핵심 프롬프트 파일의 무결성을 검증하는 로직을 아키텍처에 반영해야 합니다.
노출된 Docker API를 통한 초기 침투는 전형적이지만, 오픈소스 AI 프레임워크의
SOUL.md프롬프트 파일만 덮어써서 Telegram 기반 C2 봇으로 재활용한 기법은 공격자 입장에서 비용 대비 효과가 매우 뛰어납니다. 복잡한 악성코드를 직접 개발할 필요 없이 기본적으로 높은 시스템 명령 실행 권한을 갖는 AI 에이전트의 페르소나를 변조하여 은밀한 공격 통로로 무기화했습니다. 앞으로의 침투 테스트에서는 Exposed Docker 노드뿐만 아니라, 컨테이너 내 배포된 AI 프롬프트의 무결성 훼손을 통한 권한 남용 가능성도 핵심 공격 벡터로 다뤄야 합니다.노출된 Docker 데몬을 악용해 AI 에이전트를 조종하는 공격은 인프라 설정 오류와 미인가 '쉐도우 AI(Shadow AI)'가 결합된 새로운 보안 리스크를 보여줍니다. 즉각 조직 내 모든 컨테이너 환경의 설정 오류와 외부 노출 API를 전수 점검하고 통제 정책을 재정비해야 합니다. 나아가 AI 에이전트의 프롬프트 및 페르소나 파일 변조까지 대비할 수 있도록, 인프라와 AI 거버넌스를 통합한 다층 모니터링 체계를 조속히 강화하겠습니다.