클로드 코드 보안 취약점, 저장소 하나로 개발자 PC까지 뚫립니다

클로드 코드에게 낯선 깃허브 저장소를 던져주고 "이것 좀 설치하고 검토해줘"라고 시켜본 적 있으신가요. 편리하긴 한데, 그 저장소 안에 뭐가 숨어 있는지는 사실 아무도 장담 못 합니다. 최근 보안 연구진이 바로 이 지점을 파고들어, 오염된 저장소 하나만으로 개발자의 컴퓨터를 원격으로 장악할 수 있는 취약점을 공개했습니다. 어떻게 뚫리는 건지, 클로드 코드만의 문제인지, 지금 뭘 조심해야 하는지 정리해보겠습니다.

무슨 취약점이 발견됐나요

이번에 공개된 건 간접 프롬프트 인젝션이 원격 코드 실행(RCE)으로까지 이어지는 취약점입니다. 클로드 코드가 공격자가 미리 심어둔 오염된 저장소를 열어 작업하는 순간, 개발자 컴퓨터에서 임의의 명령이 실행될 수 있다는 뜻이에요.

이 취약점은 두 곳에서 각각 따로 확인했습니다. 모질라(Mozilla)의 보안 연구팀 0Din이 6월 29일 먼저 공개했고, 이어서 AI 나우 연구소(AI Now Institute)의 보얀 밀라노프(Boyan Milanov)와 헤이디 클라프(Heidy Khlaaf) 연구진이 7월 8일과 9일 사이에 오염된 저장소로 직접 시연한 결과를 내놓았습니다. 서로 독립된 연구인데도 같은 유형의 공격이 통한다는 걸 확인했다는 점에서 신뢰도가 높은 소식입니다.

어떻게 뚫리는 건가요

공격 흐름은 이렇습니다. 개발자가 공격자가 만든 저장소를 클론한 뒤 클로드 코드에게 "이거 설치해줘" 또는 "검토해줘"라고 맡깁니다. 저장소 안 설치 스크립트는 일부러 오류를 일으키도록 짜여 있는데, 이때 마치 "복구하려면 이 명령을 실행하라"는 것처럼 보이는 가짜 오류 메시지를 띄웁니다.

클로드 코드가 이 가짜 메시지를 진짜 안내로 착각해 그대로 따라 실행하면, 저장소 본문 어디에도 보이지 않는 DNS TXT 레코드를 통해 악성 코드가 몰래 전달됩니다. 이 코드가 실행되면 개발자 계정 권한 그대로 역방향 셸(reverse shell)이 열리고, API 키 등 자격 증명이 통째로 빠져나갈 수 있습니다. 사람이 중간 단계를 하나하나 확인하지 않고 자동 실행(에이전트 모드)에 맡겨둔 상태여야 통하는 공격이라는 점이 핵심입니다.

클로드 코드만의 문제는 아닙니다

이 취약점을 클로드 코드 전용 버그로만 보면 반쪽짜리 이해입니다. AI 나우 연구소는 소넷 4.6, 소넷 5, 오퍼스 4.8을 엔진으로 쓰는 클로드 코드뿐 아니라 오픈AI 코덱스와 GPT-5.5 조합에서도 같은 공격이 통했다고 밝혔습니다. 즉 특정 회사의 실수라기보다, "에이전트가 저장소 안 텍스트를 지시로 착각한다"는 AI 코딩 에이전트 전반의 구조적 약점에 가깝습니다.

같은 클로드 코드 관련 소식이라도 이건 최근 화제였던 클로드 코드 중국 사용자 추적 논란과는 완전히 다른 사안입니다. 그쪽은 시스템 프롬프트에 사용자 정보를 숨겨 넣은 게 문제였던 개인정보 이슈였고, 이번 건은 저장소를 통해 컴퓨터를 장악당할 수 있는 순수한 보안 취약점입니다. 두 소식을 같은 사건으로 헷갈리지 않으시면 좋겠습니다.

패치는 됐나요

아직 공식적으로 패치됐다고 확인된 상태는 아닙니다. 연구진에 따르면 앤트로픽과 오픈AI 양쪽 모두 이번 공격 유형을 통보받았지만, 두 회사의 버그 바운티 프로그램이 이런 유형의 공격을 정식으로 포함하고 있는지도 불분명하다고 합니다. 앤트로픽이 이번 건에 대해 공개적으로 낸 대응 발표는 이 글을 쓰는 시점까지 확인되지 않았습니다.

지금 뭘 조심해야 하나요

가장 확실한 예방책은 낯설거나 신뢰할 수 없는 저장소에서는 클로드 코드의 자동 실행 범위를 최소로 좁히는 것입니다. 설치 스크립트가 "오류가 났으니 이 명령을 실행하라"는 식의 안내를 띄운다면, 그게 저장소 안의 진짜 복구 절차인지 일단 의심하고 사람이 직접 확인한 뒤 진행하는 습관이 필요합니다.

특히 처음 써보는 오픈소스 프로젝트를 통째로 클로드 코드에게 맡기기보다는, 설치 단계만큼은 중간중간 무슨 명령이 실행되는지 눈으로 확인하면서 진행하시길 권합니다.

자주 묻는 질문

이번 취약점에 CVE 번호가 붙어 있나요? 아니요. 이번 두 건의 공개 자료 모두 공식 CVE 번호가 배정됐다는 내용은 없었습니다.

실제로 이 방식으로 피해를 본 사례가 보고됐나요? 확인된 바는 없습니다. 지금까지는 연구진이 공격이 가능하다는 걸 시연해 책임 있게 공개한 수준이고, 실제 악용 사례가 나왔다는 보도는 아직 없습니다.

권한을 하나씩 승인하는 모드를 쓰면 완전히 안전한가요? 자동 실행 없이 명령을 매번 확인하고 승인하는 방식으로 쓰면 이런 유형의 공격이 성공할 가능성은 줄어듭니다. 다만 이번 취약점 자체를 그 설정이 완전히 막아준다고 공식적으로 확인된 자료는 없어서, 안전장치 중 하나로 보시는 게 정확합니다.