브라우저 핑거프린팅은 쿠키 없이도 이용자를 식별하기 위해 브라우저·운영체제·그래픽 드라이버·하드웨어의 미세한 차이를 수집하는 기술이다. 그중 캔버스 핑거프린팅은 HTML 캔버스에 텍스트나 도형을 그린 뒤 그 결과 픽셀 데이터를 추출하는 방식으로 작동한다. 같은 명령이라도 환경마다 렌더링 결과가 조금씩 달라지기 때문에, 그 차이를 뽑아내면 특정 브라우저 환경을 구분하는 지문으로 쓸 수 있다. FingerprintJS 같은 상용 라이브러리부터 Cloudflare Turnstile, Akamai 같은 안티봇 솔루션까지 이 기법을 널리 활용한다.
한 리버스 엔지니어가 이런 스크립트들이 실제 웹에서 어떻게 쓰이는지 지도를 그려보기로 했다. 그는 Tranco 상위 사이트 목록을 Playwright로 크롤링하면서 캔버스의 toDataURL 호출과 navigator.webdriver 같은 핑거프린팅·안티봇 관련 속성 접근을 가로챘다. 평범한 캔버스 사용을 걸러내기 위한 필터였다. 1만 개 사이트를 돌고 나니 예상보다 다양한 캔버스가 쌓였고, 그는 이를 fingerprint.garden이라는 사이트에 모아 공개했다. 벤더별로 군집화한 1,033개의 캔버스 렌더링 중에는 FingerprintJS, Castle처럼 익히 아는 것도 있었지만 정체를 알 수 없는 것도 적지 않았다.
지문을 넘어선 캔버스
그의 눈길을 끈 것은 Tame Impala의 앨범 'Currents' 커버를 닮은 한 캔버스였다. 출처를 추적하니 servicepipe.tech에서 제공되는 난독화된 자바스크립트였다. 처음에는 흔한 javascript-obfuscator 계열의 함수명 뭉개기 정도로 보였다. 그런데 코드 안에 삽입된 심볼 이름들이 수상했다. 의미 없는 변수명을 넘어, 마치 대규모 언어모델(LLM)의 안전장치를 의도적으로 건드리도록 설계된 문자열이 들어 있었던 것이다.
안티-LLM 난독화라는 새로운 발상
저자가 'Astra'라 부른 모델에게 이 스크립트의 역난독화를 요청하자, 모델은 생물학 연구와 관련된 안전 위험을 이유로 응답을 거부했다. 다른 안전 설정을 켜도 마찬가지로 차단됐다. 반면 GLM-5.3이라는 모델은 같은 요청에 응했다. 코드 안에는 눈에 보이지 않는 유니코드 문자열이 섞여 있었고, 가능한 모든 안전장치를 자극하도록 구성돼 있었다. 중국계 모델을 겨냥한 듯 톈안먼 사건을 암시하는 내용까지 포함됐다. Node 환경에서 특정 환경 플래그가 설정되면 '악성 코드'를 실행하는 것처럼 보이는 분기도 있었지만, 이 역시 빈 콜백을 가진 readFile 호출과 자해·탈옥 시스템 프롬프트에 대한 언급으로 미뤄볼 때 실제 동작이 아니라 LLM을 교란하기 위한 장치일 가능성이 높았다.
여기서 핵심은 난독화의 목적이 바뀌었다는 점이다. 전통적인 난독화는 사람 분석가의 눈을 피하기 위한 것이었다. 그러나 이 스크립트는 LLM이 코드 분석에 광범위하게 동원되는 현실을 전제로, 모델의 안전 필터가 작동하도록 일부러 금기어와 위험 신호를 심어 자동 분석 자체를 거부하게 만든다. 방어 대상이 사람에서 '자동화된 모델'로 옮겨간 셈이다.
정작 이렇게 공들인 난독화에 비해 스크립트가 실제로 수집하는 신호는 평범한 안티봇 수준에 그쳤다. urlscan으로 servicepipe.tech를 조회하자 이름이 비슷한 servicepipe.ru가 드러났는데, 번역해 보면 DDoS·봇·표적 위협에 대응하는 고정밀 트래픽 제어 시스템과 클라우드·로컬 보호 제품을 개발한다는 러시아 기업이었다. 즉 화려한 위장에 비하면 본체는 비교적 표준적인 트래픽 보호 솔루션이었던 것이다.
국내 보안·웹 실무자에게 이 사례가 주는 함의는 분명하다. 코드 분석과 역난독화에 LLM을 무비판적으로 끼워 넣는 파이프라인은, 분석 대상이 안전 필터를 악용하도록 설계된 경우 조용히 실패하거나 아예 멈출 수 있다. 특히 자동화된 위협 분석, 악성코드 트리아지, 안티봇 우회 연구처럼 LLM 보조에 의존하는 영역일수록 '모델이 분석을 거부한다'는 사실 자체가 그 코드가 수상하다는 신호일 수 있다. 모델마다 거부 기준이 달라 어떤 모델은 막히고 어떤 모델은 통과하는 비일관성도 운영상 변수로 고려해야 한다.
다만 이 글은 한 연구자의 크롤링 관찰과 수동 분석에 기반한 것으로, 해당 스크립트의 의도가 '안티-LLM'이라는 해석은 추정의 성격이 강하다는 점은 유의해야 한다. 공격적 실행 분기가 실제로 어떤 조건에서 어떻게 동작하는지, 러시아 기업과의 연결이 어느 수준인지 등은 추가 검증이 필요한 영역이다. 저자는 앞으로도 크롤링을 이어가며 스크립트 변경을 추적하고, 핑거프린팅 페이로드를 비교(diff)하거나 새롭게 지문 수집에 쓰이는 웹 API를 모니터링하는 기능을 fingerprint.garden에 추가할 계획이라고 밝혔다. 핑거프린팅과 난독화 기법이 LLM 시대에 어떻게 진화하는지 지켜볼 만한 대목이다.