"포에버 보안(Forever Security)" 소속 보안 연구원들은 공격자가 인공지능 기반 코딩 어시스턴트에게 악성 명령을 실행하고 악성 패키지를 설치하도록 지시할 수 있는 새로운 공격 기법을 공개했습니다. 이 기법은 사용자 기기의 기본 다운로드 폴더(Downloads)에 조용히 저장된 "AGENTS.md"나 "CLAUDE.md" 같은 마크다운 형식의 텍스트 지시 파일을 AI 어시스턴트가 읽는 방식을 악용합니다.
조용한 다운로드를 통한 공격 메커니즘
"AGENTS.md"와 같은 텍스트 지시 파일은 서식 규칙, 사용 도구, 테스트 실행 방법 등 소프트웨어 프로젝트와 관련된 지침을 AI 어시스턴트에 제공하는 표준적인 수단입니다. 그러나 크롬, 엣지, 파이어폭스를 비롯한 대부분의 인기 웹 브라우저는 웹사이트가 각 파일에 대해 사용자의 명시적인 동의를 구하지 않고도 기본 다운로드 폴더를 대상으로 파일을 다운로드하는 것을 허용합니다.
개발자가 다운로드 폴더 내에서 AI 어시스턴트를 실행할 때 — 이는 폴더를 정리하거나 최근에 시각적으로 테스트한 파일을 처리할 때 흔히 발생하는 행동입니다 — 어시스턴트는 악성 파일을 자동으로 읽고 로컬 시스템 환경에서 자신에게 허용된 권한과 도구를 사용하여 그 안의 악성 지시를 실행합니다.
실제 테스트 및 유명 도구 악용
연구원들이 수행한 테스트를 통해 "OpenAI Codex" 및 "Claude Code"와 같은 주요 소프트웨어 도구에서 이 공격이 성공적으로 수행될 수 있음이 입증되었습니다. 고객을 대상으로 한 실제 사례 중 하나로, 코딩 어시스턴트는 폴더에 안착한 악성 파일의 지침에 따라 "npm" 저장소에서 "function-color"라는 악성 패키지를 설치하려고 시도했습니다.
또 다른 실험에서 연구원들은 "Claude Code" 모델의 데이터 트래픽을 공격자가 제어하는 외부 서버로 우회시키는 데 성공했으며, 그 결과 OAuth 접근 토큰이 노출되고 어시스턴트 계정이 탈취되었으며 기기에서 소프트웨어를 실행하도록 명령이 재전송되었습니다. 이 공격의 성공률은 약 50%에 달했으며, "OpenAI Codex" 모델 악용의 성공률은 약 90%에 이르렀습니다.
개발자에게 이 뉴스가 중요한 이유
이 발전이 중요한 이유는 악용된 행위가 OpenAI나 Anthropic과 같은 기업의 업데이트나 패치가 필요한 인공지능 플랫폼 내부의 소프트웨어 취약점이 아니기 때문입니다. 어시스턴트는 작업 디렉터리에 있는 지시를 읽도록 설계된 대로 정확히 수행하고 있습니다. 따라서 예방 및 위험 완화에 대한 책임은 전적으로 어시스턴트의 권한 범위와 실행 환경을 제어하는 사용자 및 개발자에게 있습니다.
권장 사항 및 예방 방법
개발 환경을 악용으로부터 보호하기 위해 다음 지침을 준수하는 것이 권장됩니다.
- 기본 다운로드 폴더(Downloads)를 AI 어시스턴트의 작업 환경이나 실행 경로로 설정하는 것을 피하십시오.
- 외부 파일에 대한 접근을 제한하기 위해 코딩 어시스턴트를 지정된 소프트웨어 프로젝트의 루트(Root) 폴더에서만 독점적으로 실행하십시오.
- 어시스턴트가 처리하도록 허용하기 전에 신뢰할 수 없는 출처에서 온 "AGENTS.md" 및 "CLAUDE.md"와 같은 지시 파일을 검토하고 검사하십시오.
- 명령을 실행하거나 소프트웨어 패키지를 설치하기 전에 샌드박싱(Sandboxing) 환경과 수동 확인 옵션을 활성화하십시오.