[디지털투데이 황치규 기자]보안 엔지니어 아오난 구안(Aonan Guan)이 앤트로픽 클로드 코드, 구글 제미나이 CLI, 깃허브 코파일럿 에이전트를 동시에 공격할 수 있는 프롬프트 인젝션 기법 '커맨드 앤 컨트롤(Comment and Control)'을 공개했다고 시큐리티위크가 16일(현지시간) 보도했다.
존스홉킨스 대학교 연구자들 지원 아래 발견된 이 공격은 깃허브 댓글, PR 제목, 이슈 본문 같은 일반적인 깃허브 콘텐츠를 조작해 AI 에이전트가 정상 지시로 착각하도록 만들어 공격자가 원하는 명령을 실행시키는 방식이라고 시큐리티위크는 전했다.
아오난 구안은 클로드 코드 보안 리뷰에서 특수하게 조작된 PR 제목으로 AI 에이전트를 속여 임의 명령어를 실행하고 자격증명을 추출해 보안 보고서나 깃허브 액션(GitHub Actions) 로그에 노출시킬 수 있었다.
제미나이 CLI 액션(Gemini CLI Action)에서는 프롬프트 인젝션이 포함된 이슈 댓글로 가드레일을 우회하고 전체 API 키를 탈취했다.
깃허브 코파일럿 에이전트의 경우 HTML 주석으로 페이로드를 숨겨 환경 필터링을 우회하고 시크릿을 스캔해 네트워크 방화벽을 넘어 데이터를 유출했다.
클로드 코드와 제미나이 CLI 공격은 피해자 개입 없이 깃허브 액션 워크플로가 자동으로 트리거된다. 코파일럿의 경우 피해자가 직접 이슈를 코파일럿에 할당해야 한다.
구안은 "이 패턴은 신뢰할 수 없는 깃허브 데이터를 처리하고 운영 시크릿과 동일한 런타임에서 실행 툴들에 접근하는 모든 AI 에이전트에 적용된다"며 "깃허브 액션을 넘어 슬랙 봇, 지라 에이전트, 이메일 에이전트, 배포 자동화까지 인젝션 표면이 달라질 뿐 패턴은 같다"고 밝혔다.
세 회사 모두 취약점을 확인했다. 앤트로픽은 이를 '치명적(critical)'으로 분류하고 일부 완화 조치를 적용하면서 100달러 버그 바운티를 지급했다. 구글은 1337달러를 지급했다. 깃허브는 500달러를 지급하면서 이 문제를 알려진 아키텍처 한계로 분류했다.
구안은 "단일 프롬프트 인젝션 패턴으로 세 개 주요 AI 에이전트들을 동시에 공격한 첫 번째 공개 크로스벤더 시연"이라며 "근본적인 문제는 아키텍처에 있다.. AI 에이전트들이 외부 입력을 처리하는 공간과 API 키·토큰 같은 민감한 정보들을 같은 환경에서 함께 다루도록 설계돼 있다. 외부에서 악성 지시가 들어와도 민감한 정보에 바로 접근할 수 있는 구조"라고 지적했다.
댓글
0