악성코드, LLM으로 피해자 가치 평가
원제: Malware uses LLMs to rank victims by how much they're worth
왜 중요한가
LLM이 단순 자동화 도구를 넘어 사이버범죄의 '지능형 분석관'으로 전용되는 첫 구체적 사례로, 피해자 선별 효율이 대폭 높아질 수 있다.
Cisco Talos가 2026년 10월 31일 공개한 분석에 따르면, 'VOLTA-AUTODOXER'라는 Windows 인포스틸러가 브라우저 비밀번호·암호화폐 지갑·OAuth 토큰 등을 탈취한 뒤 OpenRouter API를 통해 Claude, Kimi-K2, Gemini 등 LLM에 피해자의 자산 가치를 평가·우선순위화하도록 지시하는 것으로 확인됐다.
VOLTA는 자가 삭제형 악성코드로, 공격자 소유 서버가 없는 구조다. 탈취 대상은 브라우저 저장 비밀번호, 쿠키, 결제카드 정보, 암호화폐 지갑 시드 문구, Discord·Telegram·Steam·Roblox 세션, Microsoft OAuth 토큰, SSH 및 클라우드 키, Wi-Fi 프로필, 스크린샷 등 광범위하다.
수집 후 VOLTA는 피해자의 지리적 위치·자택 주소, 직장 및 도메인, 추정 생년, 카드 마지막 4자리, Slack 워크스페이스, 문서 메타데이터, iPhone 백업 여부, Roblox 계정 시세 등을 하나의 '증거 묶음(evidence bundle)'으로 정리한다. 이후 탈취한 Gmail 세션으로 구매 영수증을 검색해 주소를 검증하고, UberEats·DoorDash 주문 이력과 Discord 토큰도 추가로 끌어온다.
이 묶음은 OpenRouter API로 전송되며, 시스템 프롬프트는 모델에 '법의학 인텔리전스 분석가'로서 피해자 자산을 낮음·중간·높음 세 단계로 등급화하고 보안 수준과 비밀번호 습관까지 평가하도록 지시한다. 기본 모델은 anthropic/claude-opus-4.6이며, 모델이 거부할 경우 moonshotai/kimi-k2 → google/gemini-2.5-flash 순서로 폴백한다. 응답에 'I can't' 같은 거부 문구가 감지되면 자동으로 다음 모델로 넘어가는 구조로, LLM 가드레일을 우회하려는 명확한 엔지니어링 의도가 드러난다. 온도값은 0.2로 설정해 일관되고 결정론적인 출력을 유도한다.