'Plugin4Shell' 등장…클로드 코드·코덱스·코파일럿·제미나이 CLI 네 개 AI 코딩 에이전트 모두 뚫렸다

보안 연구소 AIR는 9월 17일(현지시간) AI 코딩 에이전트를 겨냥한 제로클릭 원격코드실행 취약점 'Plugin4Shell'을 공개했다. 연구진은 이를 "AI 에이전트 생태계 최초의 공급망 취약점"이라고 규정했다. 핵심은 이렇다 — 마켓플레이스에서 플러그인을 설치해 쓰는 개발자라면, 신뢰하는 마켓플레이스에서 검토를 거쳐 정상적으로 고정(pin)해둔 플러그인 하나만 깔려 있어도 노출된다. 부주의하게 아무 플러그인이나 설치한 사용자에게만 해당하는 문제가 아니라는 뜻이다.

SHA 고정이 왜 뚫렸나

플러그인 'SHA 고정(pinning)'은 설치된 플러그인을 검토를 통과한 특정 버전의 코드에 묶어두는 장치다. 한 번 리뷰를 통과하면 개발자 모르게 코드가 바뀌지 못하도록 하는 것이 원래 취지다. Plugin4Shell은 바로 이 고정 장치를 무력화한다.

AIR에 따르면 네 개 에이전트 모두 고정된 커밋을 체크아웃하면서도 실제로 그 커밋 위치에 코드가 안착했는지를 검증하지 않았다. 공격자는 이 빈틈을 이용해 고정 표시는 그대로 유지된 것처럼 보이게 하면서 악성 코드를 바꿔치기할 수 있다. 연구진은 이를 "플러그인 SHA 고정 우회"라고 부른다. 클로드 코드·코덱스·깃허브 코파일럿은 깃(git)이 브랜치 이름을 다루는 방식과 얽힌 한 가지 형태를 공유하고, 제미나이 CLI는 고정 커밋을 가져와 체크아웃하는 별도 방식을 통해 노출됐지만 결과는 같다.

'제로클릭'인 이유

이 결함이 위험한 것은 "모든 것을 제대로 한" 사용자에게까지 도달하기 때문이다. AIR는 "설치 시점만의 문제가 아니며, 바로 그 점이 제로클릭인 이유"라고 설명했다. 클로드 코드와 코덱스에서 기본값인 백그라운드 자동 업데이트가 돌 때 동일한 git 체크아웃이 다시 실행되기 때문에, 마켓플레이스가 고정 SHA를 갱신하는 순간 사용자가 아무 조작을 하지 않아도 이미 설치된 플러그인에까지 바꿔치기가 전달된다는 것이다.

다만 조건이 있다. AIR는 "브랜치 이름을 해시처럼 지을 수 있는 곳에서만 성립한다"고 밝혔다. 이는 git의 기본 동작이지만, 일부 호스트는 이를 금지한다. 깃허브는 40자리 16진수 형태의 브랜치 이름을 아예 거부하는 반면, 비트버킷을 비롯한 일부와 자체 호스팅 git 서버는 이를 허용한다.

공격자는 어떻게 들어오나

AIR는 두 가지 침투 경로를 제시했다. 첫째, 공격자가 광고한 그대로 정상 작동하는 플러그인을 배포해 리뷰를 통과시키고 사용자를 확보한 뒤, 나중에 악성으로 전환하는 방식이다. 연구진은 앞선 연구에서 자신들이 만든 플러그인이 회수되기 전까지 2만 6,000개가 넘는 에이전트에 퍼진 사례로 이 접근이 실제 가능함을 보였다고 밝혔다.

둘째, 남이 이미 만들어 사용자들이 신뢰하는 플러그인의 저장소를 탈취한 뒤 같은 우회 기법으로 악성 코드를 모두에게 배포하는 방식이다. AIR는 이를 'SkillJacking'이라 부르는 별도 연구에서, 이미 활발히 쓰이던 925개 스킬이 원 관리자로부터 탈취돼 13만 4,000개 에이전트에 도달한 정황을 확인했다고 설명했다. 연구진은 "탈취는 대규모로 일어나고, Plugin4Shell은 그것을 막기 위해 만들어진 장치를 무력화한다"며 공격 사슬이 처음부터 끝까지 입증됐다고 평가했다.

벤더별 대응은 엇갈렸다

에이전트 안에서 검증이 이뤄지는 구조이기 때문에, AIR는 어떤 마켓플레이스도 단독으로 보호를 보장할 수 없다고 지적했다. 결국 각 벤더가 에이전트 자체를 고쳐야 하며, 패치가 나온 곳에서는 업데이트만이 완전한 해결책이다.

구글은 제미나이 CLI를 패치하는 대신 폐기하는 쪽을 택했는데, 이는 기존 설치본이 사실상 무기한 노출 상태로 남는다는 것을 의미한다. 구글은 해당 사용자들에게 이 공격이 기대는 플러그인 고정 방식을 아예 없앤 신규 에이전트 Antigravity로 이동하라고 안내했다.

의미와 전망

Plugin4Shell는 AI 코딩 에이전트가 개발자의 로컬 소스·클라우드 자격증명·SSH 키·내부 저장소 같은 권한을 그대로 물려받는다는 사실을 정면으로 드러냈다. 편의를 위한 플러그인·스킬 마켓플레이스가 곧 새로운 공급망 공격 표면이 된 셈이다. '고정해두면 안전하다'는 전제가 무너진 이상, 에이전트 벤더는 체크아웃 결과 검증을 기본으로 삼아야 하고, 사용자는 설치한 확장의 신뢰 사슬을 코드처럼 관리해야 하는 시대로 접어들고 있다.