AI가 읽는 문서가 공급망 구멍이 됐다

웹사이트가 AI에게 자기 문서를 설명하려고 두는 파일이, 거꾸로 공격 통로가 된 사례가 확인됐다. 아스 테크니카(Ars Technica)는 2026년 8월 27일, 100개가 넘는 사이트의 기계 판독용 문서 파일이 주인 없는 코드 패키지를 가리키고 있었고 코딩 에이전트들이 그것을 실제로 설치했다고 보도했다. 실행된 흔적을 남긴 곳 가운데는 포춘 500대 기업도 여럿 포함됐다.

무슨 일인가 / 배경

문제의 파일은 최근 확산 중인 llms.txt와 llms-full.txt다. 검색 로봇에게 색인 규칙을 알려주던 robots.txt처럼, 이번에는 AI에게 사이트 구조와 요약을 알려주려는 용도로 만들어진 관행이다. 문서 안에는 설치 방법이나 시작 안내 같은 실행 명령이 함께 적히는 경우가 많다.

이스라엘의 한 스텔스 단계 스타트업 연구진은 방위산업체와 대기업, 빅테크 소유의 도메인 6,214곳을 훑어 이런 파일 8,265개를 수집했다. 그 가운데 120개 파일이 등록되지 않은 패키지 이름이나 존재하지 않는 도메인을 가리키고 있었다. 연구진은 그중 일부 이름을 직접 선점한 뒤, 설치되면 자기 서버로 신호를 보내는 무해한 코드를 올려 두고 기다렸다.

결과는 한 시간 만에 나왔다. 첫 신호가 대기업에서 도착했고, 이후 다른 대기업과 스타트업에서도 응답이 이어졌다. 신호에 함께 기록된 상위 프로세스 계보를 따라가 보니 클로드(Claude), 오픈AI의 코덱스(Codex), 누스 리서치(Nous Research)의 에르메스(Hermes) 같은 코딩 에이전트가 설치를 실행한 주체였다.

핵심 짚어보기

구조는 어렵지 않다. 셸 명령 실행 권한을 가진 에이전트가 벤더 문서를 '공식 설치 안내'로 신뢰하는 순간, 그 문서에 적힌 이름이 실재하는지는 아무도 검증하지 않는다. 이름이 비어 있으면 누구든 먼저 등록해 그 자리에 원하는 코드를 올릴 수 있다.

실제 악용 사례도 나왔다. 정상 서비스인 클럭(Clerk)의 사이트에 올라 있던 파일에는 특정 패키지를 즉석 실행하는 명령이 적혀 있었다. 이 방식은 패키지를 프로젝트 의존성 목록에 추가하지 않고 캐시에 받아 바로 실행하기 때문에, 나중에 무엇이 들어왔는지 추적하기가 더 어렵다. 비어 있던 그 이름을 누군가 선점해 악성코드를 올려 둔 상태였고, 클럭은 이후 문제를 정리했다.

연구진은 인터뷰에서 신뢰 모델 자체가 깨져 있다고 지적했다. 에이전트가 문서를 사실로 받아들이고, 그것을 감독하는 사람도 되묻지 않는다는 것이다. 근본 원인은 프롬프트 인젝션과 같다. 모델은 사용자가 직접 친 지시와 외부에서 읽어 온 내용을 안정적으로 구분하지 못한다.

1인기업 실전 적용 포인트

• 에이전트에게 셸 실행을 허용한 프로젝트라면, 설치 계열 명령만이라도 자동 승인에서 제외하자. 파일 편집은 되돌릴 수 있지만 설치는 되돌리기 어렵다.
• 문서에서 본 패키지를 깔기 전에 레지스트리에서 이름·배포자·최초 등록일을 먼저 확인하는 절차를 규칙 파일에 못 박아 두는 것이 값싼 방어다. 만들어진 지 얼마 안 된 이름은 특히 의심 대상이다.
• 캐시에 받아 즉시 실행하는 형태의 명령은 의존성 목록에 흔적이 남지 않는다. 사용 이력을 남기려면 설치와 실행을 분리하고, 컨테이너나 별도 사용자 계정처럼 버릴 수 있는 환경에서 먼저 돌리자.
• 본인 사이트에 이 파일을 두고 있다면, 거기 적힌 패키지와 링크가 지금도 실재하는지 점검할 것. 내 문서의 오탈자 하나가 방문한 에이전트를 공격자에게 안내하는 표지판이 된다.

전망 / 주의점

이번 건은 에이전트가 읽는 모든 외부 텍스트가 곧 잠재적 명령이라는 사실을 다시 확인시켰다. 도구가 늘고 연결이 넓어질수록 공급망 표면은 함께 커지는데, 지금의 보안 장치 대부분은 사람이 명령을 입력하는 상황을 전제로 설계돼 있다.

감염이 실제로 얼마나 일어났는지는 아직 확인되지 않았다. 다만 개인 개발자나 소규모 팀은 대기업과 달리 사후 탐지 체계가 없다는 점을 기억할 필요가 있다. 막을 수단이 사전 권한 설정뿐이라면, 그 설정을 지금 손보는 것이 유일한 대응이다.

출처: 아스 테크니카 (https://arstechnica.com/security/2026/08/claude-codex-and-hermes-installed-unowned-code-inside-corporate-networks/)