2026년 북한 해커는 Ollama로 무엇을 하나? 로컬 대형언어모델의 악성코드·사이버공격 잠재적 용도

1. 결론: 도구는 중립, 맥락이 위험을 결정

Ollama의 정상적인 용도는 사용자가 대형언어모델을 로컬에서 실행하는 것입니다. 개발자가 모델을 테스트하고, 로컬 어시스턴트를 만들거나, 민감한 데이터를 클라우드 API에 올리지 않을 때 적합합니다. 악성코드가 아니며 내장 공격 기능도 없습니다.

같은 로컬·스크립트화·API화 특성은 공격 조직이 탈취 자료 처리, 피싱 콘텐츠 생성, 악성 코드 수정 보조에 활용할 수도 있습니다. 2026년 8월 10일, 한국 사이버보안 기업 지니언스(Genians)는 최근 Kimsuky 활동 포렌식에서 Ollama, GPT4All, Msty 등 로컬 LLM 런타임 흔적과 RAG 환경·AI Agent 프레임워크 설정 흔적을 발견했다고 분석을 공개했습니다.

중요한 구분: 공개 보고는 공격자 인프라에 나타날 수 있는 도구 조합을 설명하는 것이지 「Ollama를 설치하면 보안 문제가 생긴다」는 뜻이 아닙니다. 공격자가 Ollama를 쓴다면 핵심 가치는 다음에 있을 가능성이 큽니다:

• 로컬 모델 추론——탈취 자료가 외부 클라우드 서비스를 거치지 않음;
• 배치 텍스트 처리——대량 문서의 빠른 요약·필터링·분류;
• 자동화 워크플로 연동——스크립트·Agent 프레임워크와 연결해 반복 작업 감소.

본문은 이러한 잠재적 용도와 방어 관점을 설명합니다. 공격 환경 구축 튜토리얼, API 호출 예시, 자동화 스크립트는 제공하지 않습니다.

2. 흔한 오해 세 가지

오해 1: 합법 도구를 악성코드로 취급. Ollama는 Docker, Python, VS Code처럼 일상적인 개발자 소프트웨어입니다. 공격자는 범용 도구를 악용할 수 있지만, 그것이 도구 자체를 악성으로 만들거나 로컬 AI를 일괄 금지할 이유는 아닙니다.

오해 2: 「잠재적 용도」를 「확인된 능력」으로 쓰기. 지니언스 보고는 포렌식 흔적에서 로컬 LLM 환경을 추론합니다. 정확한 호출 패턴, 처리 데이터량, 운영 영향에 대한 공개 자료는 아직 제한적입니다. 「도구 설치 흔적 발견」과 「대규모 자동화 공격 확인」을 구분하세요.

오해 3: AI만 주목하고 전통적 공격 체인 무시. Kimsuky는 오랫동안 스피어 피싱, 악성 LNK 파일, PowerShell 스크립트에 의존해 왔습니다. 로컬 LLM이 쓰인다면 공격 준비·데이터 분석 가속에 가깝지, 전통적 침입 방식을 대체하지는 않습니다. 방어는 여전히 이메일 필터링, 엔드포인트 탐지, 신원 통제가 우선입니다.

3. Ollama란: 로컬 모델 런타임과 API

해커가 무엇을 하는지 묻기 전에 Ollama가 무엇인지부터 정리합니다. 오픈소스 LLM을 로컬에서 받아 실행·관리하는 도구로, CLI와 HTTP API 인터페이스를 제공합니다.

3.1 개발자가 합법적으로 쓰는 이유

개발자는 Llama, Qwen, Gemma 등 오픈 모델을 복잡한 GPU 설정 없이 로컬 하드웨어에서 실행하고, 코드·문서를 클라우드 API로 보내지 않을 수 있어 Ollama를 선택합니다. 내부 문서 검토, 프로토타이핑, 오프라인 시나리오에서 합리적이고 효율적인 선택입니다.

3.2 위험과 관련된 세 가지 핵심 특성

잠재적 악용을 이해하려면 구체적 명령어나 설정 없이 다음 세 가지만 알면 됩니다:

• 로컬 API: 추론이 기기 내에서 실행되며 요청이 공격자 통제 하드웨어 밖으로 나가지 않아도 됨;
• 배치 처리: 스크립트가 대량 텍스트 코퍼스에 순차·병렬 추론 요청 가능;
• 모델 호출 추상화: 상위 앱(Agent 프레임워크 포함)이 하나의 인터페이스로 모델 교체 가능.

개발자에게는 효율 이점이고, 공격자에게는 유출 위험 감소·처리 규모 확대의 잠재적 이점——하지만 이는 내장 공격 모듈이 아니라 사용 패턴에서 옵니다.

4. 공격자가 선택할 수 있는 이유

지니언스 2026년 8월 공개 분석에 따르면, Kimsuky는 이전에 주로 공격 준비 단계에서 AI를 활용——위조 이미지·음성·피싱 미끼를 만들었습니다. 최근 포렌식은 그룹이 외부 클라우드 서비스에 의존하지 않는 로컬 LLM 환경을 구축했을 가능성을 시사하며, 탈취 자료 처리 시 데이터 유출을 피하려는 의도로 해석됩니다.

4.1 클라우드 비의존: 모니터링·추적 위험 감소

탈취한 외교 문서, 투자 보고서, 암호화폐 관련 이메일을 ChatGPT 같은 공개 API에 업로드하면 이상 탐지, 계정 정지, 수사 추적이 발생할 수 있습니다. 로컬 모델은 민감 자료를 공격자 통제 하드웨어에 유지하고 제3자 서비스 로그 밖에 둡니다.

4.2 통제·스크립트화: 배치 작업에 적합

Ollama API 설계는 상위 프로그램이 추론을 자동화할 수 있게 합니다. 수백 건의 탈취 문서에서 핵심 인물·기관·투자 단서를 추출해야 하는 시나리오에서 로컬 모델+스크립트 호출이 수동 열람보다 효율적입니다. 공개 보고가 이 구성을 「정보 추출 자동화」와 연결하는 이유입니다.

4.3 합법 원격 접속·개발 도구와 결합

지니언스는 Cursor 같은 AI 코드 에디터와 음성-텍스트 변환(STT) 도구 흔적도 발견했습니다——모두 합법 소프트웨어입니다. 공격자는 이를 로컬 LLM과 결합해 「데이터 확보 → 로컬 분석 → 미끼 생성 → 악성 배포」 반자동 파이프라인을 만들 수 있지만, 실제 침입은 여전히 피싱 이메일·악성 첨부파일 같은 전통 기법에 의존합니다.

5. 악성코드 개발 단계의 잠재적 용도

다시 강조: 아래는 도구 특성에 기반한 잠재적 용도 분석이며 Kimsuky가 모든 시나리오를 완료했다는 확인이 아닙니다. 공개 보고는 전체 공격 체인 재구성보다 환경 구축 흔적에 가깝습니다.

5.1 코드 이해·수정 보조

로컬 모델은 기존 악성코드 구조 파악, 변종 주석 빠른 생성, 악성 로직을 다른 언어·프레임워크로 「번역」하는 데 도움을 줄 수 있습니다. 지니언스 보고의 Cursor 흔적은 공격자가 AI 코드 에디터로 인간 감독 하에 코드 검토·재작성을 가속했을 가능성을 시사합니다——개발자가 Copilot을 쓰는 것과 유사하지만 맥락이 다릅니다.

5.2 위장 주석·문서 생성·다듬기

악성코드 작성자는 정적 분석 경보를 줄이기 위해 평범해 보이는 주석이나 독스트링을 넣기도 합니다. 로컬 LLM은 「그럴듯한」 주석 텍스트를 배치 생성해 초기 검토에서 일반 프로젝트처럼 보이게 할 수 있습니다.

5.3 로그·디버그 출력 분석

악성 페이로드 테스트는 대량 디버그 로그를 만듭니다. 로컬 모델이 오류·호환성 문제를 추출해 반복 속도를 높일 수 있습니다——개발자 디버깅 워크플로가 공격 측으로 옮겨진 것이지, 모델이 자율적으로 익스플로잇을 완성한다는 뜻은 아닙니다.

6. 공격 운영 단계의 잠재적 용도

악성코드 개발보다 Kimsuky는 공개 보고에서 공격 운영——피싱 미끼 제작, 표적 필터링, 탈취 데이터 처리——와 더 자주 연결됩니다.

6.1 고품질 피싱 미끼 생성

지니언스는 최근 미끼 문서가 이전보다 정교해졌다고 지적합니다——투자 보고서·금융 분석처럼 AI 생성으로 보이는 자연스러운 문체와 전문적 레이아웃이 수신자 의심을 낮춥니다. 과거에는 탈취한 실제 문서를 재사용했지만, 이제 생성형 AI로 표적 신원에 맞춘 미끼를 만들 수 있습니다.

6.2 탈취 데이터 요약·필터링

침입 성공 후 이메일·문서·연락처 대량 확보가 흔합니다. 수동 검토는 비효율적입니다. 로컬 LLM이 각 문서를 빠르게 요약하고 이름·기관을 추출하며 암호화폐·외교 정책 관련 항목을 표시해 다음 피싱 대상을 결정하는 데 도움을 줄 수 있습니다.

6.3 음성-텍스트·멀티모달 처리

보고에는 STT 도구 흔적도 언급됩니다. 로컬 LLM과 결합하면 탈취 음성 녹음을 텍스트로 변환한 뒤 요약하는 시나리오가 가능해, 전통적 문서 중심 정보 수집을 확장할 수 있습니다.

7. RAG·Agent 결합 시 위험

지니언스는 Kimsuky 인프라에서 RAG(검색 증강 생성) 환경과 AI Agent 프레임워크 설정 흔적을 발견했습니다. 이 조합은 공격 운영 효율 상한을 높일 수 있어 별도 주목이 필요합니다.

7.1 탈취 파일이 질의 가능한 지식 베이스로

RAG는 문서를 청크로 나누고 벡터 인덱스를 만들어 검색된 맥락으로 답변합니다. 공격자가 탈취 외교 전문·내부 메모·투자 파일을 RAG에 넣으면 자연어로 「어떤 관리가 누구에게 이메일을 보냈는지」「어떤 암호화폐 펀드가 최근 대규모 움직임이 있었는지」를 질의할 수 있어, 탈취 데이터 위에 사설 Q&A 엔진을 구축하는 효과가 있습니다.

7.2 Agent 프레임워크가 자동화 범위 확대

AI Agent는 「문서 검색 → 요약 생성 → 이메일 초안 → 외부 도구 호출」을 워크플로로 연결합니다. 공격 시나리오에서 반복 운영 작업이 수동에서 반자동으로 옮겨질 수 있습니다. Agent는 여전히 부여된 도구 권한과 인간이 설정한 목표에 한정되며, 자율적으로 네트워크 침입을 시작하지는 않습니다.

7.3 기업에 대한 함의

RAG+로컬 LLM은 데이터 유출 후 2차 피해를 증폭합니다. 탈취 자료가 정적 파일에 그치지 않고 빠르게 구조화·질의·재활용될 수 있습니다. 공격자가 어떤 로컬 모델을 썼는지 추적하는 것보다 초기 침입(피싱·익스플로잇) 방지가 더 근본적입니다.

8. 정상 사용 vs 잠재적 악용 대조표

이 표는 합법적 개발 시나리오와 공개 보고에 나온 잠재적 악용을 구분합니다. 핵심 기준은 「Ollama 설치 여부」가 아니라 어떤 데이터를 처리하고, 어떤 인터페이스를 노출하며, 어떤 도구와 결합하는가입니다.

9. 7단계 기업 거버넌스 체크리스트

로컬 LLM 잠재적 악용에 직면한 기업은 모든 로컬 AI 도구를 일괄 금지하지 말아야 합니다——합법적 개발·테스트를 해칩니다. 실행 가능한 거버넌스가 더 현실적입니다:

1. 로컬 AI 자산 등록: Ollama, LM Studio 등 실행 기기 전부——담당자, 용도, 개발/테스트 vs 운영.
2. 네트워크 노출 제한: Ollama 로컬 API 포트를 기본적으로 공용 인터넷 차단, 통제 내부망·VPN만 허용.
3. 민감 디렉터리 경계: 고객 데이터·비밀·소스코드 디렉터리 직접 읽기 방지, 필요 시 샌드박스·읽기 전용 마운트.
4. API 호출 감사: 추론 빈도·소스 IP·요청 크기 로깅, 비정상 배치 패턴 경보.
5. 개발 환경과 공격 표면 분리: 개발/테스트 LLM 노드를 실제 업무 데이터 머신과 격리——겸용 머신 회피.
6. 엔드포인트 보안 기준 포함: 로컬 AI를 EDR/XDR에 추가, PowerShell·LNK·원격 접속 도구 결합 행위 관찰.
7. 위협 인텔리전스 정기 검토: Kimsuky 등 APT 공개 보고 추적, 로컬 AI 거버넌스·직원 인식 교육 업데이트.

핵심 논리: 합법적 사용은 허용하고, 악용 조건은 통제——공포로 도구를 금지하지 않습니다.

10. 격리된 macOS 환경에서 로컬 모델 안전 운영

Ollama를 로컬에서 실행해야 하지만 보안 경계를 명확히 하고 싶은 팀에게 격리된 macOS 환경은 주 업무 워크스테이션에 설치하는 것보다 현명합니다. Mac mini M4 통합 메모리 아키텍처는 로컬 LLM 추론에 뛰어난 대역폭·효율을 제공——16GB 통합 메모리로 7B~8B 모델을 원활히, 24GB면 더 넓은 시나리오를 커버합니다.

macOS Gatekeeper, SIP(시스템 무결성 보호), FileVault 디스크 암호화는 로컬 AI 워크스테이션 기준선에서 대부분의 데스크톱 플랫폼보다 강합니다. 대기 전력 약 4W로 Mac mini는 24시간 무소음 가동 전용 로컬 모델 노드로 적합——일상 업무 머신과 물리 분리해 「개발 도구와 민감 데이터가 한 기기에」 위험을 구조적으로 줄입니다.

로컬 AI 테스트 환경을 계획하고 모델 추론·RAG 실험을 일상 업무와 분리하려면 Mac mini M4는 가성비 좋은 전용 노드입니다. 지금 시작해 더 안전하고 안정적인 하드웨어에서 합법적 로컬 AI 워크플로를 실행해 보세요.