가상자산 보안 경고…"AI 중개 라우터, 개인키 탈취 취약성 확인"

인공지능(AI) 기반 개발 환경에서 활용되는 중개 라우터가 가상자산(암호화폐) 탈취로 이어질 수 있는 보안 취약점을 지니고 있다는 연구 결과가 나왔다.

13일(현지시간) 코인텔레그래프에 따르면 미국 캘리포니아대학교 연구진은 LLM(대형언어모델) 라우터 공급망을 분석한 논문에서 악성 코드 삽입, 자격증명 탈취 등 총 4가지 공격 경로를 확인했다고 밝혔다.

연구에 따르면 일부 라우터는 사용자 요청을 전달하는 과정에서 데이터를 평문 상태로 처리할 수 있어, 개인키나 시드 문구 등 민감 정보가 외부에 노출될 가능성이 있는 것으로 나타났다. 특히 스마트컨트랙트 개발이나 지갑 관리 과정에서 AI 코딩 도구를 사용할 경우 이러한 위험이 확대될 수 있다는 설명이다.

실험에서는 총 400개의 무료 라우터와 28개의 유료 라우터를 분석한 결과, 일부 라우터가 실제로 악성 코드를 삽입하거나 외부 자격증명에 접근하는 사례가 확인됐다. 연구진은 이 과정에서 테스트용 이더리움(ETH) 지갑에서 자산이 유출되는 사례도 관측됐다고 밝혔다.

또 정상적으로 보이는 라우터라도 유출된 자격증명을 재사용하거나, 사용자 확인 없이 명령을 실행하는 설정을 통해 보안 위험이 발생할 수 있는 것으로 분석됐다.

연구진은 이러한 구조적 특성상 악성 행위를 사전에 식별하기 어렵다는 점을 지적했다. 라우터가 정상적인 데이터 전달 과정에서도 민감 정보를 읽을 수 있기 때문에, 정보 처리와 탈취 행위를 구분하기 쉽지 않다는 설명이다.

이에 따라 개발자들에게는 AI 환경에서 개인키나 시드 문구 등 민감 정보를 직접 입력하지 않는 등 보안 조치를 강화할 필요가 있다고 권고했다. 또한 장기적으로는 AI 응답에 대한 암호학적 검증 체계 도입이 필요하다고 제언했다.