스틸리언이 자사 AI 기반 웹 보안 솔루션 ‘웹수트(WebSuit)’가 AI 에이전트 기반 공격에 활용되는 API 정찰과 브라우저 자동화를 차단하는 데 성공했다고 밝혔다.

스틸리언은 AI 자율 침투테스트 도구를 활용해 웹서비스의 API 정보를 탐색하고 브라우저를 자동 조작하는 공격 흐름을 재현하는 시험을 진행했다. 이 과정에서 명령행 도구 ‘curl’을 이용한 API 정찰과 브라우저 자동화 도구 ‘Playwright’를 이용한 접근이 웹수트에 의해 차단되는 것을 확인했다. 테스트 대상은 중국어 기반 AI 침투 테스트 도구 ‘아르텍스(ARTEX)’ 등 최근 실제 사고에 악용된 공격 흐름을 반영했다.

AI 에이전트가 공격에 활용되면서 웹·API 보안 관리의 중요성은 한층 커지고 있다. 금융보안원 역시 지난 9월 금융권을 대상으로 AI 에이전트 기반 공격 시도가 실제 확인됐다고 밝히며, 데이터와 시스템을 연결하는 API 보안 관리 강화를 강조한 바 있다.

웹수트는 API 경로를 동적으로 변경하는 난수화 기법과 요청·응답 암호화를 적용해 서비스 호출 구조와 데이터를 외부에서 분석하기 어렵게 만든다. 서버 측에서는 인증 토큰과 데이터 위·변조 여부를 검증해 요청을 허용하거나 차단한다. 이를 통해 고정된 API 경로와 평문 파라미터를 전제로 한 요청 분석·조작형 공격에 대응한다.

AI 에이전트를 활용한 자동화 공격에는 AI 행동 분석과 PoW(작업증명·Proof of Work) 챌린지를 결합해 방어한다. 마우스 이동, 클릭, 키 입력, 스크롤 등 사용자 행위 패턴과 브라우저 실행 환경을 분석해 비정상적인 자동화 접근을 식별하고, 의심 요청에는 연산 과제를 부여해 공격자가 소요해야 하는 시간과 자원 부담을 높이는 방식으로 위협을 억제한다.