AI가 읽는 문서가 악성코드 통로가 됐다

AI 코딩 에이전트가 기업 공식 홈페이지에 올라온 안내 문서를 읽고, 그 안에 적힌 설치 명령을 그대로 실행했다. 문제는 그 명령이 가리킨 패키지에 주인이 없었다는 점이다. 보안 연구자 알론 헤르츠(Alon Hertz)는 제로데이 취약점 없이, 누구나 볼 수 있는 평문 파일 하나만으로 대기업 내부망에서 코드를 실행시키는 데 성공했다.

무슨 일인가

문제의 파일은 엘엘엠스 티엑스티(llms.txt)와 그 확장판인 llms-full.txt다. AI가 사이트 내용을 제대로 읽도록 기업이 자발적으로 게시하는 안내서로, 독자가 사람이 아니라 기계라는 점만 빼면 특별할 것이 없는 텍스트 파일이다.

이스라엘의 스텔스 단계 스타트업 연구진은 방산업체와 포춘 500대 기업, 빅테크가 운영하는 6,214개 도메인을 훑었다. 수집한 8,265개 파일 가운데 120개가 등록되지 않은 패키지 이름이나 도메인을 가리키고 있었고, 이 파일들은 각각 다른 사이트에 흩어져 있었다. 아스 테크니카(Ars Technica)는 기업 문서 안의 설치 명령 227건이 주인 없는 코드를 향하고 있었다고 전했다.

연구진은 이론에서 멈추지 않았다. 비어 있던 이름 몇 개를 직접 등록한 뒤, 실행되면 신호를 되돌려 보내는 패키지를 올려두었다. 한 시간도 지나지 않아 포춘 500대 기업 한 곳에서 첫 신호가 돌아왔고, 다른 대기업과 스타트업이 뒤를 이었다. 프로세스 기록에는 앤트로픽의 클로드(Claude), 오픈AI의 코덱스(Codex), 누스 리서치의 허메스(Hermes) 같은 AI 코딩 에이전트가 남아 있었다. 세 회사 모두 보도 시점까지 아스 테크니카의 질의에 답하지 않았다.

핵심 짚어보기 — 뚫린 것은 코드가 아니라 신뢰 사슬

이 수법이 위험한 이유는 어느 단계도 수상해 보이지 않기 때문이다. 에이전트는 공식 도메인에 있는 문서를 읽었고, 거기 적힌 대로 공개 레지스트리에 설치를 요청했을 뿐이다. 도메인도 신뢰 대상이고, 패키지 관리자도 신뢰 대상이며, 에이전트도 신뢰 대상이다. 보안 도구 입장에서는 평범한 개발 작업과 구분되지 않는다. 헤르츠는 이를 두고 신뢰 모델 자체가 깨졌다고 표현했다.

실제 악성코드로 이어진 사례도 확인됐다. 인증 서비스 기업 클러크(Clerk)의 안내 파일에는 npx로 특정 패키지를 실행하라는 한 줄이 들어 있었다. npx는 필요한 패키지를 캐시로 내려받아 실행하면서도 프로젝트 의존성 목록에는 남기지 않는다. 기대한 실행 파일이 이미 로컬에 깔려 있었다면 아무 일도 일어나지 않지만, 없으면 공개 레지스트리에서 같은 이름을 찾아간다. 그 빈자리를 누군가 선점해 악성코드를 올려둔 것이다. 문서를 쓴 회사는 거짓말을 한 적이 없다. 비어 있던 칸이 나중에 채워졌을 뿐이다. 클러크는 현재 이 문제를 해결한 상태다.

1인기업 실전 적용 포인트

• 에이전트에 설치 명령 자동 실행 권한을 주지 않는다. npm·pip·npx·brew가 들어간 명령만이라도 승인 게이트를 걸어 사람이 한 번 읽게 만든다. 자동화 속도보다 이 한 단계가 훨씬 싸다.
• 외부 문서에서 복사한 설치 명령은 실행 전 3초만 검증한다. 패키지 페이지에서 소유자, 최초 배포일, 주간 다운로드 수를 확인한다. 어제 처음 올라온 이름이면 거기서 멈춘다.
• 즉석 실행 대신 버전 고정 설치를 기본값으로 둔다. 락파일을 저장소에 커밋해두면 같은 이름이라도 다른 코드가 조용히 끼어들지 못한다.
• 내가 만든 문서도 점검한다. 랜딩페이지, 리드미, llms.txt에 적어둔 설치 안내가 이제는 존재하지 않는 패키지를 가리키고 있지 않은지 확인한다. 남의 에이전트를 감염시키는 통로가 내 사이트일 수도 있다.

전망 / 주의점

llms.txt 보급률 자체는 아직 낮다. 프로지오에이아이(ProGEO.ai)가 2026년 3월 조사한 바로는 포춘 500대 기업 중 37곳, 7.4%만 이 파일을 게시했다. 로봇 텍스트(robots.txt) 보유율 92.8%와 비교하면 이제 막 시작한 관행이다. 보급이 시작되기도 전에 사고가 먼저 도착했다는 점이 문제의 성격을 보여준다. 위험의 근원은 파일 형식이 아니라, 에이전트가 읽기와 실행을 하나의 흐름 안에서 처리한다는 구조다. 문서에 적힌 문장을 개발자가 직접 입력한 명령과 같은 신뢰도로 대하는 한, 형식이 무엇으로 바뀌든 같은 사고는 반복될 수 있다.

출처: Startup Fortune (https://startupfortune.com/researcher-alon-hertz-tricked-claude-codex-and-hermes-into-running-malware/)