> For the complete documentation index, see [llms.txt](https://www.xn--hy1b43d247a.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://www.xn--hy1b43d247a.com/operation-triple-barrel/9.-and.md).

# 9. 결론 & 소감

## 결론

오랜 시간 Maldev와 Capdev는 정말 극소수의 사람들과, 시간과 예산을 많이 투입할 수 있는 군/정보기관을 제외하고는 제대로 하기 어려운 분야였다. 해외(미국/유럽)의 경우조차도 본인의 직업을 "레드팀"이라고 소개하는 사람들 중 Maldev/Capdev를 제대로 하고 있는 사람들은 손에 꼽을 정도였다. 못한다기보단, 워낙 시간이 오래 걸리는 작업이기 때문에 시간이 없어서 못하는 경우가 많았다.

벌써 이 프로젝트만 해도 그렇지 않은가? 악성코드 분석(심지어 리버싱은 하지도 않았다), 코드 개발, TTP 연구, 테스트, 버그 픽스, EDR 테스트, 방어 회피 기법 적용 등, 신경 쓸 게 한두 개가 아니다. 공격자를 시뮬레이션하거나 에뮬레이션하는 것은 돈이 별로 안 된다. 그 시간에 기본 코발트스트라이크 쓴 뒤, 고객사에게 EDR 예외처리 해주세요를 부탁하고는, stock impacket으로 AD DA/EA나 따거나, 취약점 하나 더 찾는 게 오히려 더 돈이 된다.

그래서 민간 레드팀 시장은 극소수의 레드팀 회사들을 제외하고는, 사실상 레드팀이라고 보기 어려웠다. 다들 어느 정도 익숙하고 정해진 TTP 내에서, 조금 더 고도화된 침투테스트를 하고 있는 것에 그친 레드팀들도 많았다.

그렇다고 해서 실제 공격자들이 다 대단한 공격자들만 있는 것은 아니다. 대다수의 공격을 차지하고 있는 (혹은, 적어도 걸려서 탐지되어 트래킹이 가능한 공격들을 차지하고 있는...) 공격자들은 이미 나와 있는 코드/기법을 재사용하는 것에 그친다. 실력 있는 APT 그룹들도 Attribution의 문제 때문에라도 그저 이미 나와 있는 도구들을 재사용하는 경우도 있다.

하지만, 그렇지 않은 경우도 많다. 듣도보지도 못한 기법들, "이래야 APT 급이지"라는 말이 절로 나오는 악성코드들, 단순 Maldev를 넘어 프레임워크, ORB 네트워크, 광범위한 자동 정찰/공격 도구들까지, 깊이와 그 스케일이 굉장한 공격자들도 있다. 십여 년 전 공개된 Vault 7만 보더라도, 우리가 모른다는 사실조차 모르는(Unknown Unknowns) 기술과 기법, 도구들을 개발하고 사용하는 공격자들도 많다.

그런 공격자들의 코드와 기법을 보고 배우고, 분석하고, 이를 시뮬레이션해 "우리도 이거 막을 수 있을까?"를 알아보고자 하는 니즈는 오랫동안 있었지만, 항상 민간의 모든 일이 그렇듯 시간과 예산에 가로막혀 "에이 그냥 CS에 impacket이나 쓰자"가 디폴트가 됐던 적이 한두 번이 아니다.

### AI

AI는 이런 판도를 바꾼다. 물론 AGI가 나와 진정한 "AI 해커"가 나오면 그 즉시 모든 기술 보안인들이 (그리고 모든 화이트칼라들이?) 실직하게 되겠지만, 아직은 그 정도까진 아니다. 현재 실무에서 사용하는 AI는, 굉장히 유용하고 도움이 되는 툴이다. 이번 프로젝트만 해도 그렇다. 머릿속에 있었던 악성코드의 구조, 방어 회피 기법들, 평소에 생각만 하던 것들을 이제는 AI를 통해 코드로 구현이 가능해졌다. 그것도 매우 빠르게 말이다. 단 2\~3일 만에 나름 성능이 좋은 EDR도 우회할 만한 수준의 코드/기법을 재구현한다는 것은 정말 고무적인 일이다.

### 한계

그리고 여기까지만 읽으면, AI 만능론에 빠지기 쉽다. "캬 역시 AI 해커지", "이제 Maldev/Capdev도 AI가 해주네"라는 생각과 함께, "AI 해커" 솔루션/프레임워크들을 만들고 있는 수많은 스타트업들의 선견지명에 다시 한 번 감탄하며 주머니에서 솔루션 구입비를 꺼내는 회사들도 많을 것이다.

하지만 직접 해보지 않으면 모른다. 직접 실무에 사용할 퀄리티의 코드를 작성하고, 진짜 레드팀 작전을 뛰고, 업계 EDR/NDR을 우회하며, 블루팀과 협업하고, Maldev/Capdev를 해보는, 최전선에서 레드팀 업무를 하지 않는 이상은 모르는 부분이 있다.

이번 프로젝트를 하면서도 사실 기대가 컸다. 레드팀 및 모의해킹을 하며 직접 오퍼레이션을 제외하고 AI를 안 쓴 적이 없었고, 나만의 잘 사용하는 방법이나 하네스까지 잘 준비를 했기 때문에, 3일이면 잘 끝낼 수 있을 거라고 생각했다. 심지어 보고서에 나왔던 코드나 기법들도 내가 평소에 잘 알고 있고 자주 사용했던 것들이라, 100% 미지의 코드/기법을 재구현하는 것도 아니었기에 금방 끝날 줄 알았다. 혹은, 적어도 삽질을 그만큼 덜 할 줄 알았다.

하지만 그렇진 않았다. 버그가 나온 것은 둘째치고, 아예 감을 못 잡는 경우가 많아 꽤나 많이 guidance를 해줘야 했다. AI가 빠르게 코드를 뱉어내는 것과, 그 코드가 실제로 EDR을 우회하며 안정적으로 동작하는 것 사이에는 아직 꽤 큰 간극이 있다.

* Barrel-Kit 제작 시 겉보기엔 그럴듯해 보이는 코드였지만 CPU 사용량이 40%를 찍어버린다거나 (크라켄 슬립의 DLL unmap/remap을 sleep 0에도 적용하길래 기겁해서 바로 개입했다)
* Suspicious Module loading 탐지 룰 때문에 고치라고 했더니 System32 아래에 있는 모든 DLL을 preloading 해버린다든지 (바로 당장 눈앞의 문제는 해결되는 게 맞다. 근데 DLL preloading 200개씩 하는 프로그램은 정상 프로그램이 아니니까 당연히 EDR에 걸리지... LLM한테 "생각을 하라고 좀" 라는 생각을 했다는 것 자체가 좀 웃겼다)
* 보고서에 나온 아주 기초적인 악성코드의 구조 자체도 이해를 못 하거나, 한 15년 전 구조를 가져와 제작하려고 한다거나 (맨 처음엔 Adaptix C2 쉘코드로 만들어서 그냥 냅다 VirtualAlloc + WriteProcessMemory + CreateRemoteThread 하려고 했다)
* Barrel-Shot 만들 때 mingw 컴파일러 플래그를 그냥 나 악성코드예요 하는 걸로 설정을 해버리질 않나
* 꽤나 자신 있게 만들었던 Barrel-Kit + Barrel-Giga가 첫 48시간 동안에는 Elastic에서 알람만 20개를 띄워서 일일히 다 root cause + potential fix를 찾아주거나, 찾길 도와줘야 하질 않나 

... 여러모로 많은 삽질이 있었다.

물론, 당연히 알고 있다. "Skill Issue"를 얘기하며 "하네스 설정이 잘못 되어 있으셨겠죠" "모델 설정을 잘못하셨겠죠" "아 Astra/Daybreak 나오면 저런 문제 없어진다구요" "스킬 세팅은 되어 있으셨나요" "프롬프트를 잘못 넣으셨겠죠"... 다 이해한다. 하지만 실제로 오퍼레이션 트리플 배럴만큼의 딥한 문제를 해결하는 데 AI를 전적으로 활용하고 있는, 최전선에 있는 사람들은 알 것이다. 아직까지 사람의 개입 없이 그냥 100% 다 AI한테 맡기고 커피 마시러 갈 수가 없다는 것을 말이다.

물론 물론, 항상 모든 AI Bros들이 그렇듯 "3년만 지나면 다 대체될 듯"이 사실일 수도 있다. 3년이 뭐냐 [AGI 2027](https://ai-2027.com/)지\~ 라고 생각하는 사람도 있을 것이다. "AGI가 아니더라도 어차피 대체될 듯"도 맞는 말일 수도 있다. AI가 오펜시브 시큐리티를 대체한다는 말은, 2019년도 CPTC 대회 당시 Machine Learning을 전공하던 대학원생의 Keynote 때부터 들었다. "여러분이 되려는 모의해커라는 직업은 정확히 7년 뒤에 없어질 것입니다". 당시에는 꽤 충격적이었다. 그 뒤부터 GPT-2, 트랜스포머와 LLM, 최근에는 프론티어 모델들까지 관련된 기술들을 쭉 트래킹했고, 실제로 기술의 발전은 매서웠다. 하지만 최근부터 오퍼레이션 트리플 배럴을 끝낸 오늘까지도, 뭔가 직업이 없어진다거나 사람이 대체될 일은, 적어도 단기간(3\~5년)에는 없을 것 같다는 생각이 든다.

### 고백

그리고 위와 같은 한계들은, 아직 코드베이스에 남아있다. 겉보기에는 정말 그럴듯해보이지만, Barrel-kit, giga, shot에는 아직 해결되지 않은 문제/버그들이 있다. 예를 들어 Async BOF를 실행할 때 Kraken sleep과 충돌하여 에이전트 크래시가 난다던지, SMB/TCP listener, peer-to-peer connection은 테스트가 안됐다던지, 수 많은 버그 픽스와 탐지 룰 회피를 위해 AI가 덕지덕지 기워놓은 코드 때문에 Top 3 EDR 중 하나의 Aggressive 설정에는 탐지가 된다던지, LSA Secrets 덤프 관련된 BOF는 왜인지는 모르겠지만 비컨 크래시도 안나지만, 덤프는 안된다던지 등등... 고쳐야할게 산더미다.

### 그럼에도 불구하고

그럼에도 불구하고, 현재 AI는 레드팀 업무 중 Hands-on 오퍼레이션을 제외하고, 너무나도 유용하다. Maldev, Capdev, 자동화, 외부 정찰, 문서화, 로깅, 인프라 구축, R\&D, 등등, 사실상 안쓰는 곳이 없다. 사실 너무 많이 써서 `생각의 외주화`가 심해지고 있다는 걸 요새 많이 느낀다. 한계는 존재하지만, 모델의 성능이 좋아지며 그 한계들마저 줄어드는 추세고, 앞으로 성능은 좋아지면 좋아졌지 더 나빠질 수가 없을 것이다(opus 5.0 제외).

### 결론

AI는 Maldev/Capdev의 진입 장벽을 확실히 낮춰줬다. 예전에는 몇 주, 몇 달이 걸리던 작업을 며칠 만에 해낼 수 있게 됐고, 머릿속에만 있던 기법들을 실제 코드로 빠르게 옮길 수 있게 됐다. AI의 발전 때문에 "AI 해커"가 나와서 모든 레드티머들이 일자리를 잃는 일은, 적어도 단기간에는 일어나지 않을 것 같다.

오히려, 그 반대다. 공격자 시뮬레이션과 에뮬레이션은 더 이상 업계 20년차 레드티머들만이 할 수 있는 일이 아니다. 누구나 프로그래밍과 Maldev/Capdev 기본 지식이 있고, 약간의 경험만 있어도 바로 뛰어들 수 있는 일이 되었다. 더 많은 회사가 레드팀을 받고, 레드팀을 시작하고, 레드팀 작전을 뛰게 될 것 같다. 적어도 AGI가 나오기 전까지는.

장밋빛 미래만 있는 것은 아니다. 생각의 외주화를 맡겨버린, 결국에는 아무리 "Agentic AI Engineering"과 같은 멋진 단어들로 포장해도 돌고 돌아 "바이브코딩"을 하는 사람들이 많아지면 많아질수록, 레드팀의 리스크는 올라간다. 바이브코딩한 에이전트가 도메인 컨트롤러에서 돌다가 CPU가 30%를 튀는 순간, 큰 일이 벌어질 수 있다. 어젯밤 클로드와 만든 키로거가 완벽해보였지만, 그 작은 엣지 케이스 하나 때문에 임직원 PC에 설치해서 실행하는 순간 BSOD를 일으켜 가용성 문제를 만들어낼수도 있다. 탐지되는 건 말할 것도 없다.

결국 AI가 만들어낸 코드를 실전에서 쓸 수 있는 수준으로 끌어올리는 건 결국 오퍼레이터의 경험과 판단이다. AI는 손을 빠르게 해주지만 머리까지 대체해주진 않는다. "이 코드가 안전한지", "왜 EDR에 걸리는지", "이 구조가 왜 2026년에는 안 통하는지"를 아는 건 아직까지는 사람의 영역이다.

머릿속에만 있던 것을 실제로 3일 밤낮으로 삽질하며 프로젝트화 해보니 좀 더 생각이 명확해지는 느낌이다. 오랜만에 Show, Don't Tell을 할 수 있어서 재밌었다.

그러면 더 많은 Maldev, Capdev, 그리고 AI를 똑똑하게 활용하게 되길 바라며,

Happy Hacking!