AI 코딩 에이전트는 새로운 공급망 위험에 직면해 있다

모질라의 제로 데이 조사 네트워크(0DIN)의 새 보고서는 에이전트형 코딩 도구들이 스캐너와 사람 리뷰어 모두에게 무해해 보이는 깃허브 저장소로부터 악성 페이로드를 실행하도록 속을 수 있다고 말한다.

문제는 일반적인 의미의 오염된 소스 트리가 아니다. 0DIN의 시연에서 저장소 자체에는 명백한 악성 코드가 없었다. 대신 공격 체인은 설정 과정에서 펼쳐졌는데, 클로드 코드(Claude Code)가 프로젝트를 클론하고 실행하도록 요청받았을 때 발생했다. 연구진에 따르면 그 과정은 개발자 기기에서 인터랙티브 셸을 얻도록 이어질 수 있었으며, 승인된 명령 중에 명백히 의심스러운 것이 없었다.

0DIN은 이 침해를 "악성 코드 없음, 경고 없음, 누군가가 승인해야 할 의심스러운 명령 없음"이라고 설명했다.

이 방법은 각각은 무해해 보이는 세 가지 분리된 요소에 의존한다. 이들이 합쳐지면 흔한 사용자 실수를 모방하고, 에이전트가 신뢰하는 오류를 유발하며, 궁극적으로 악의적 목적지를 가리키는 값을 가져온다. 연구진에 따르면 그 결과는 AI가 실제로 평가한 것과는 "세 단계의 간접성" 떨어진 리버스 셸이다.

"클로드 코드는 결코 셸을 열기로 결정하지 않았다. 오류를 고치기로 결정했다. 리버스 셸은 클로드 코드가 실제로 평가한 것과는 세 단계의 간접성 떨어진 것이다: 그것이 신뢰한 오류 메시지, 값을 가져온 스크립트, 그리고 그것이 전혀 보지 못한 DNS 레코드," 라고 0DIN 연구진은 말했다.

공격이 성공하면 침입자는 개발자의 권한으로 실행되는 셸을 얻어 환경 변수, API 키, 로컬 구성 파일에 접근하고 지속성(persistence)을 확보할 가능성을 열게 된다.

0DIN은 이 기술이 현재는 개념적인 단계에 불과하다고 말하지만, 가짜 구인 공고, 튜토리얼, 블로그 게시물 또는 직접 메시지를 통해 쉽게 유포될 수 있다고 경고했다.

위험을 줄이기 위해 그룹은 AI 에이전트가 설정 명령에 대한 전체 실행 체인(스크립트 및 런타임에 동적으로 가져오는 모든 코드 포함)을 공개할 것을 권고한다. 연구진은 조직이 자동화된 방어와 사람의 검토를 모두 피하는 공급망 공격을 막으려면 그 가시성이 필수적이라고 주장한다.

출처:

bleepingcomputer.com