보안 조사에서 Claude, OpenAI Codex, 그리고 Nous Research의 Hermes 코딩 에이전트가 기업 환경 내부에서 청구되지 않은 소프트웨어 패키지를 설치한 것과 연관된 것으로 나타났다. 이 활동은 연구진이 어떤 조직도 현재 소유하지 않은 패키지와 도메인으로 에이전트를 안내하는 문서 파일을 테스트하면서 드러났다.

이 결과가 중요한 이유는 해당 명령이 일반적인 개발자 설정 지침처럼 보였고, 여러 경우 실제 기업 웹사이트에서 나왔기 때문이다. 연구진은 개념 증명 테스트를 위해 일부 버려진 패키지 및 도메인 이름을 등록한 지 1시간 이내에 Fortune 500 기업으로부터 콜백을 받았다고 밝혔다. 증거는 광범위한 침해를 입증하지는 않지만, 셸 접근 권한이 있는 AI 에이전트가 오래된 문서를 소프트웨어 공급망의 진입점으로 바꿀 수 있음을 보여준다.

연구진이 발견한 것

Ars Technica AI에 따르면, 이스라엘의 은밀한 보안 스타트업이 방위 계약업체, Fortune 500 기업, 주요 기술 기업과 관련된 6,214개의 라이브 도메인을 스캔했다. 팀은 웹사이트가 AI 시스템을 위해 기계가 읽을 수 있는 설명과 탐색 정보를 제공하는 데 사용하는 새로운 llms.txt 및 llms-full.txt 관행을 사용하는 8,265개의 파일을 식별했다.

그 파일들 중 120개는 서로 다른 사이트에 호스팅되어 있었으며, 하나 이상의 미등록 패키지 이름 또는 청구되지 않은 도메인을 참조하고 있었다. 전체 파일에서 연구진은 스캔 시점에 소유자가 없던 패키지를 설치하거나 도메인에 접근하는 227개의 명령을 집계했다. 많은 참조는 PyPI와 npm을 포함한 일반적인 패키지 생태계를 다루고 있었다.

위험을 시험하기 위해 연구진은 버려진 이름들 중 일부를 등록하고, 실행 시 자신의 서버에 접속하도록 설계된 패키지를 호스팅했다. 그 결과 발생한 비콘은 Claude, Codex, Hermes와 연관된 상위 프로세스를 식별했다. 연구진은 또한 테스트 패키지가 처리된 후 Fortune 500 기업과 스타트업을 포함한 수십 개 조직으로부터 콜백을 받았다.

이번 조사에서는 해당 기업들이 멀웨어에 감염되었다는 사실은 확인되지 않았다. 다만 각 환경이 개념 증명 코드를 실행했거나 연구진의 인프라에 도달했음을 보여주었다. Ars Technica AI에 따르면, 보도 시점까지 Anthropic, OpenAI, Nous Research는 논평 요청에 응답하지 않았다.

문서 문제는 실행 위험이 된다

이 노출은 AI 코딩 에이전트가 탐색, 검색, 명령 실행을 결합하는 방식에서 비롯된다. 에이전트는 벤더 문서를 읽고 그 내용을 권위 있는 것으로 받아들인 뒤 로컬 또는 기업 환경에서 설정 명령을 실행할 수 있다. 참조된 패키지가 한 번도 등록된 적이 없다면, 공격자는 나중에 그 이름을 선점해 그 아래에 악성 코드를 게시할 수 있다.

문서화된 한 패턴은 존재하지 않는 패키지에 대해 pip install 또는 npm install 지침을 사용했다. 또 다른 사례는 존재하지 않는 테스트 프레임워크 도메인을 참조했다. 따라서 이 보안 문제는 악성 웹사이트나 의도적으로 오염된 프롬프트에만 국한되지 않는다. 문서 작성자가 수년 전에 잘못되었거나 오래되었거나 환각으로 만들어진 의존성을 입력했을 수 있으며, 그 참조는 다른 사람이 가져갈 수 있도록 남아 있었을 수 있다.

연구진은 또한 Clerk의 웹사이트와 관련된 사례도 설명했다. llms.txt 파일에는 나중에 선점되어 실제 멀웨어 배포에 사용된 패키지 이름과 연결된 npx 명령이 포함되어 있었다. npx는 프로젝트의 의존성 매니페스트에 추가하지 않고도 패키지 바이너리를 가져와 실행할 수 있기 때문에, 이 명령은 실행으로 이어지는 특히 직접적인 경로를 만들었다.

이후 Clerk는 해당 문서 문제를 수정했다. 회사는 이미 관련 패키지인 @clerk/eslint-plugin을 설치한 사용자들은 자신들이 설명한 상황에서 악성 패키지에 노출되지 않았다고 밝혔다. Clerk 관련 혼란이 실제 감염을 일으켰는지는 여전히 불분명하다.

기존 방어 체계가 신호를 놓칠 수 있는 이유

이번 조사는 위험한 결정이 내려지는 지점과 기업 보안 도구가 보통 남용을 탐지하는 지점 사이의 간극을 강조한다. 잘 알려진 패키지 레지스트리를 대상으로 pip나 npm을 실행하는 코딩 에이전트는 정상적인 개발 활동처럼 보일 수 있다. 엔드포인트 탐지 및 대응 도구는 승인된 AI 어시스턴트가 허용된 네트워크 연결을 통해 익숙한 패키지 관리자를 실행하는 것으로 볼 수 있다.

문제는 문서와 의존성 사이의 검증되지 않은 관계다. 에이전트는 파일이 공식 HTTPS 도메인에서 왔고 명령이 표준 레지스트리를 사용한다는 점은 확인할 수 있지만, 패키지 소유권, 게시자 신원, 출처, 또는 그 의존성이 프로젝트에서 예상되는지 여부는 확인하지 못할 수 있다. 이러한 검사는 에이전트의 기본 워크플로에 반드시 포함되는 것은 아니다.

이는 프롬프트 인젝션과 관련이 있지만 한 가지 중요한 점에서 더 넓다. 프롬프트 인젝션은 일반적으로 모델을 조작하기 위해 의도적으로 심어 놓은 지침을 의미한다. 그러나 연구진이 설명한 시나리오에서는 원래의 지침이 진짜이고 무해할 수 있다. 위험은 나중에 버려진 패키지나 도메인이 공격자에게 사용 가능해질 때 나타난다.

AI 빌더와 기업 팀에 의미하는 바

AI 에이전트 개발자에게 이번 결과는 검색된 문서를 사용자의 명령의 연장선이 아니라 신뢰할 수 없는 입력으로 취급해야 한다는 점을 강화한다. 셸 명령을 실행할 수 있는 에이전트는 지침 읽기와 실행 승인 과정을 분리하고, 새로운 의존성에는 확인을 요구하며, 설치 전에 패키지 소유권과 출처를 점검해야 한다. 샌드박싱과 제한된 네트워크 접근은 이러한 검사가 실패할 때의 피해를 줄일 수 있다.

기업 내에서 코딩 에이전트를 배포하는 제품 팀은 더 즉각적인 거버넌스 질문에 직면한다. 즉, 어시스턴트가 내부 저장소, 패키지 레지스트리, 자격 증명, 그리고 운영 환경에 가까운 시스템에 동시에 무제한 접근권을 가져야 하는가 하는 문제다. 유용한 배포 정책은 격리된 환경에서 코드 생성과 테스트를 허용하되, 임의의 패키지 설치를 차단하거나 승인된 의존성 목록을 요구할 수 있다.

보안 팀은 자사 도메인의 llms.txt 및 llms-full.txt 파일을 감사해야 하지만, 위험은 이러한 형식에만 국한되지 않는다. 에이전트는 README 파일, 벤더 SDK 가이드, 이슈 스레드, 예제, 제3자 문서도 사용한다. 조직은 신뢰할 수 있는 파트너와 커뮤니티 프로젝트를 포함해 검색 경로 전체에서 의존성 검증과 출처 통제를 마련해야 한다.

시장적 함의는 추측적이라기보다 실질적이다. AI 코딩 어시스턴트는 더 많은 행동 권한을 부여받고 있는 반면, 소프트웨어 공급망 방어는 여전히 인간 개발자와 기존 빌드 시스템을 중심으로 설계되어 있다. 에이전트가 도구를 자동으로 설치하는 일이 잦아질수록, 왜 그 의존성이 선택되었는지와 어떤 출처가 이를 승인했는지를 기록하는 일이 더 중요해진다.

다음에 주목할 점

첫 번째 신호는 Anthropic, OpenAI, 또는 Nous Research가 설치 명령, 미등록 패키지, 검색된 지침을 에이전트가 어떻게 처리하는지에 대한 변경 사항을 공개하는지 여부다. 보안 연구자와 기업 사용자는 버려진 이름의 재사용을 표시하는 패키지 레지스트리 제어와 실행 전에 출처 검사를 추가하는 에이전트 플랫폼도 주시해야 한다.

두 번째 신호는 기업들이 기계가 읽을 수 있는 문서를 감사하고 수정하는지 여부다. 연구진의 스캔은 일부 잘못된 항목이 AI 시대 이전의 것임을 보여주었으며, 이는 단순 정리만으로는 문제가 해결되지 않을 수 있음을 시사한다. 팀은 문서가 처음 게시될 때만 의존성을 검증하는 것이 아니라, 시간이 지나면서 패키지 소유권을 지속적으로 모니터링해야 한다.

마지막으로, 사고 대응팀은 통제된 테스트 외부에서 유사한 콜백이나 패키지 선점이 발생했는지의 증거를 찾을 수 있다. 현재 보도는 노출과 문서 참조와 관련된 최소 한 건의 실시간 멀웨어 사례를 입증하지만, 영향을 받은 조직 전반의 확인된 감염 수를 수치화하지는 않는다.

Creati.ai 관점

이번 사건은 모델의 정확성만이 아니라 권한에 대한 경고다. AI 에이전트는 기술적으로 올바른 패키지 레지스트리 요청을 하면서도 여전히 안전하지 않은 지침을 따르고 있을 수 있다. 명령이 공식 벤더 도메인에서 시작되었다면 그 차이를 놓치기 쉽다.

기업에게 합리적인 대응은 코딩 어시스턴트를 포기하는 것이 아니라, 실행할 수 있는 범위를 줄이고 검증 가능한 의존성 출처를 요구하는 것이다. 에이전트가 참고 자료와 승인 권한을 안정적으로 구분할 수 있을 때까지, 모든 자동 설치는 보안상 민감한 행위로 취급해야 한다.