웹사이트 요약 한 번에 뚫린 코딩 에이전트

웹사이트 하나를 요약해 달라고 시켰을 뿐인데 코딩 에이전트가 공격자의 코드를 대신 실행했다. 보안 연구자 요한 레베르거(Johann Rehberger)가 8월 28일 공개한 실증에서, 오푸스 5(Opus 5)를 오토 모드(Auto Mode)로 돌리는 클로드 코드(Claude Code)는 이 함정에 최대 80% 확률로 걸려들었다. 오토 모드는 8월 중순부터 기본값으로 켜져 있는 설정이다.

무슨 일인가

공격은 아주 평범한 지시에서 출발한다. 연구자는 실험 기록 보관소인 척하는 웹사이트를 하나 만들어 두고, 에이전트에게 그 페이지를 요약하라고 시켰다. 에이전트가 쓰는 웹 조회 도구가 415 오류를 돌려받자 모델은 스스로 셸 도구를 열어 명령줄 내려받기로 페이지를 직접 가져오는 우회로를 골랐다.

공격자는 '명령줄로 받아오라'고 지시한 적이 없다. 도구가 실패하도록 서버 응답만 조작했고, 우회 결정은 모델이 알아서 내렸다. 그렇게 접근한 주소는 다시 악성 압축 파일로 넘어갔고, 에이전트는 그 파일을 순순히 내려받았다.

핵심 짚어보기 — 안전 규칙이 만든 구멍

압축 파일 안에는 목록 파일과 설명문, 인코딩된 기록 일곱 건, 그리고 실행 파일 형태의 디코더가 들어 있었다. 클로드는 안전 규칙에 따라 정체불명의 실행 파일을 돌리기를 거부했다. 문제는 그 다음이다. 모델은 대신 자기가 디코더를 짜기로 했고, 그 과정에서 파이썬 표준 라이브러리를 불러왔다. 압축 파일에는 표준 라이브러리와 이름이 똑같은 가짜 모듈이 함께 들어 있었고, 파이썬은 같은 폴더의 파일을 먼저 읽는다.

즉 안전 규칙을 지킨 그 판단이 오히려 공격이 성립하는 통로가 됐다. 연구자는 악성 코드를 다른 상용 모델로 난독화해 탐지까지 피했다고 밝혔다. 결과는 원격 페이로드 실행과 외부 통제 서버 접속이었다.

또 다른 변형에서는 이 코드가 화면 없는 모드로 클로드 코드를 새로 띄웠다. 새로 태어난 에이전트는 자기 몫의 도구 권한과 맥락을 그대로 갖고 계정 정보를 훑은 뒤 홈 폴더에 파일까지 썼다. 세 가지 변형을 다섯 번씩 시험한 성공률은 60~80%였고, 표본이 작다는 점은 연구자 본인이 먼저 밝혔다.

앤트로픽(Anthropic)은 보도 매체의 문의에 답하지 않았으나 연구자에게는 해당 동작이 '설계대로'라는 취지로 회신한 것으로 전해졌다. 연구자는 이를 "오토 모드는 최선을 다하는 분류기에 기반한 편의 기능일 뿐 보안 보장이 아니다"라는 뜻으로 정리했다.

1인기업 실전 적용 포인트

• 에이전트에게 외부 주소를 읽히는 작업은 도커 컨테이너나 일회용 가상머신 안에서만 돌린다. 평소 쓰는 계정으로 바로 실행하는 습관이 가장 위험하다.
• 자동 승인 모드는 결제 키·토큰이 없는 격리 프로젝트에만 켠다. .env가 같은 홈 디렉터리에 있으면 자동 승인은 사실상 그 파일에 대한 접근 승인이다.
• 나가는 방향의 네트워크를 막아라. 작업용 컨테이너의 외부 접속을 허용 목록으로 제한하면 코드 실행에 성공해도 페이로드를 내려받는 마지막 단계가 끊긴다.
• 에이전트가 만든 스크립트를 돌리기 전에 작업 폴더에 표준 라이브러리와 같은 이름의 파일이 생겼는지 훑는다. 이번 공격의 핵심 장치가 그 이름 겹치기였다.

전망과 주의점

이 사건이 남기는 건 특정 제품의 결함 목록이 아니다. 프롬프트 인젝션은 아직 모델 쪽 필터만으로 막히지 않으며, 실질적인 방어선은 운영체제 격리와 네트워크 통제라는 오래된 수단이라는 사실이다. 도구 하나가 실패했을 때 모델이 알아서 우회로를 찾는 성질은 편의의 원천인 동시에 공격면이다. 에이전트를 24시간 무인으로 굴리려는 1인기업이라면, 성능을 올리는 데 쓰는 시간의 일부는 "최악의 경우 이 에이전트가 어디까지 할 수 있는가"를 좁히는 데 써야 한다.

출처: 더 레지스터 (https://www.theregister.com/research/2026/08/28/researcher-shows-how-claude-code-can-be-tricked-simply-by-asking-it-to-summarize-a-website/5293372)