무해해 보이는 깃허브 저장소가 AI 코딩 에이전트를 속여 악성코드를 실행시키는 새로운 공급망 공격

핵심 요약

• 모질라 제로데이 투자팀이 깃허브 저장소 클론과 설정 과정에서 AI 코딩 에이전트가 악성 페이로드를 실행하도록 유도하는 새로운 공격 벡터를 공개했다.
• 해당 페이로드는 보안 스캐너, AI 에이전트, 사람 코드 리뷰어 모두에서 정상 코드로 위장해 탐지를 우회하는 특징을 갖는다.
• 보안 실무자와 개발 조직은 저장소 검증 절차와 에이전트 실행 정책을 즉시 재정비하고 장기적인 거버넌스 체계를 설계해야 한다.

분석 결과 이 사례는 AI 기반 코딩 자동화가 보편화된 환경에서 신뢰 경계가 어디까지 확장되어야 하는지를 다시 묻는 신호로 해석된다.

Bleeping Computer는 깃허브 저장소를 매개로 AI 코딩 에이전트를 속여 악성 페이로드를 실행시키는 새로운 공급망 공격이 발견됐다고 보도했다. 외관상 무해해 보이는 저장소가 클론과 의존성 설치 과정에서 동작을 개시한다는 점에서, 단순한 악성 코드 배포가 아니라 개발 워크플로우 자체를 겨냥한 정교한 사회공학 결합형 위협으로 평가된다.

공격 개요: 무해해 보이는 깃허브 저장소의 실체

AI 코딩 에이전트 도입 확산과 새로운 공격 표면

Bleeping Computer에 따르면 모질라의 제로데이 투자팀은 깃허브에 공개된 저장소를 clone한 뒤 의존성 설치, 빌드 스크립트 실행, 환경 설정 등의 절차에서 AI 코딩 에이전트가 악성 명령을 수행하도록 유도하는 시나리오를 실증했다. 에이전트형(agentic) 코딩 도구는 단순 코드 생성을 넘어 저장소 구조 분석, 패키지 설치, 명령어 실행까지 자동화하기 때문에, 저장소 내 설정 파일과 스크립트는 사실상 새로운 공격 표면이 된다.

공격자는 사람이 직접 읽어보기 전까지는 의심하기 어려운 파일에 악성 행위를 분산 배치하고, 실행 트리거를 사람이 거의 관여하지 않는 자동화 단계에 심어둠으로써 피해자의 인지 부하를 회피하는 것으로 분석된다.

악성 페이로드의 실행 시점과 위장 방식

연구진이 확인한 페이로드는 clone 직후 또는 npm install 같은 표준 명령과 유사한 시점에 동작하도록 설계되어, 개발자나 운영자가 화면에서 확인하기 전에 실행이 완료되는 경우가 많다고 Bleeping Computer는 설명했다. 위장 대상은 단순한 파일명이 아니라 README, 빌드 출력, 의존성 트리까지 일관되게 정상 흐름을 모사하는 형태로, 멀웨어 샌드박스에서도 정상 행위로 분류될 가능성을 높인다.

탐지 우회 메커니즘 상세 분석

보안 스캐너를 무력화하는 코드 구조

해당 페이로드는 정적 시그니처로 탐지되지 않도록 페이로드 본문을 난독화하거나, 환경 변수, 사용자 에이전트 문자열, 파일 시스템의 특정 단서 같은 조건부 분기를 적극 활용한다. 그 결과 일부 조건을 만족하지 않으면 코드가 비활성 상태로 머무르며 정상 분기로만 흐르고, 표면적인 정적 분석에서는 비기능성 코드로 판정될 가능성이 커진다. Bleeping Computer는 이러한 특성이 악성코드 탐지 엔진의 휴리스틱 임계치를 우회하도록 설계된 것으로 보인다고 분석했다.

AI 에이전트와 사람 리뷰어의 판단 오류 유발 구조

AI 에이전트는 컨텍스트 내 토큰 흐름에 의존해 다음 행동을 결정하기 때문에, 페이로드는 README나 이슈 트래커의 안내 문구를 의도적으로 모방해 명령 실행을 정당화하는 문맥을 만든다. 사람 리뷰어도 짧은 시간에 많은 PR을 검토해야 하는 현실적 부담 때문에, 잘 짜인 가이드 문서와 친숙한 명령 시퀀스 앞에서는 자동 승인 성향이 강해질 수 있다. 결과적으로 공격자는 AI와 사람 양쪽의 인지 편향을 동시에 겨냥하게 된다.

위협의 파급력과 시사점

기존 공급망 공격과 비교한 차이점

기존의 패키지 생태계 기반 공급망 공격은 주로 악성 라이브러리를 정식 저장소에 등록하는 방식이었다. 이번 사례는 정상 계정, 정상 저장소, 정상 의존성으로 보이도록 구성하면서도 자동화 도구의 동작을 빌려 페이로드를 실행시키는 점에서 차이를 가진다. 공격의 성공 조건이 패키지 생태계에 대한 신뢰가 아닌 AI 에이전트의 행동 모델에 대한 신뢰에 의존하기 때문에, 전통적인 패키지 평판 시스템만으로는 차단이 어렵다.

AI 코딩 도구 도입 기업에 대한 정책적 시사점

분석하면 이 사건은 AI 코딩 도구를 도입한 조직이 직면한 정책적 공백을 드러낸다. 많은 기업이 AI 에이전트에게 부여하는 권한 범위, 네트워크 접근, 명령 실행 허용 목록, 데이터 유출 통제 등은 사람이 직접 실행하는 경우보다 느슨하게 운영되는 경우가 많다. 에이전트가 임의의 저장소를 자율적으로 clone하고 명령을 실행하는 행위는 사실상 내부자에 준하는 권한을 외부 코드에 위임하는 셈이므로, 위험 모델을 재정의할 필요가 있다.

실무자가 즉시 검토해야 할 대응 권고

저장소 검증 및 에이전트 실행 정책 강화

Bleeping Computer가 제시한 사례를 토대로 실무자는 다음 항목을 우선 점검해야 한다. 첫째, AI 에이전트가 신규 저장소를 clone할 때 코드 서명, 작성자 평판, 최근 커밋 이력을 자동으로 평가하는 가드를 도입한다. 둘째, 에이전트가 실행할 수 있는 명령 화이트리스트를 정의하고, 네트워크 호출과 외부 다운로드에 대해서는 명시적 승인을 요구한다. 셋째, 페이로드가 잠복하기 쉬운 install, postinstall, prebuild, prepare 같은 라이프사이클 스크립트는 최소 권한 샌드박스에서 먼저 실행하도록 강제한다.

• 저장소 신뢰 등급을 사람이 아닌 정책으로 사전 분류한다
• 에이전트의 명령 실행 로그를 불변 저장소에 보관한다
• 사람 리뷰어의 인지 부담을 줄이기 위해 PR 요약과 위험 지표를 자동 제공한다

장기적 거버넌스와 모니터링 체계

단기 점검만으로 충분하지 않은 이유는 공격자가 AI 에이전트의 행동 모델 업데이트에 맞춰 페이로드를 지속적으로 변형할 가능성이 크기 때문이다. 장기적으로는 AI 에이전트의 권한 모델과 사람의 책임 경계를 명문화한 사내 정책, 공급망 위협 인텔리전스를 활용한 저장소 평판 피드, 에이전트 실행 결과에 대한 정기 감사 체계를 함께 운영해야 한다. AI 코딩 도구를 도입한 모든 조직은 이 사례를 계기로 에이전트를 하나의 내부 사용자로 간주하는 보안 거버넌스를 설계할 필요가 있다.

참고 자료: Bleeping Computer 원문 기사, Mozilla Zero Day Investigative Team