주요 AI 코딩 에이전트 ‘Plugin4Shell’ 제로클릭 RCE 취약점 노출

주요 AI 코딩 에이전트에 첫 공급망형 제로클릭 원격코드 실행 취약점 확산

• Anthropic ‘Claude Code’, OpenAI ‘Codex’, GitHub ‘Copilot’, Google ‘Gemini CLI’가 모두 같은 제로클릭 원격코드 실행 취약점 ‘Plugin4Shell’에 노출돼, AIR는 이를 AI 에이전트 생태계 최초 공급망 취약점으로 규정한다.
• Plugin4Shell은 개발자가 검증한 플러그인 버전에 고정하기 위해 사용하는 SHA 핀닝 검증을 우회해, 리뷰를 통과한 정상 플러그인 코드가 추후 공격자가 심은 악성 코드로 교체되도록 해 직원과 동일한 시스템·데이터 권한을 공격자가 획득하게 만든다.
• 이 취약점은 마켓플레이스에서 플러그인을 설치한 뒤 자동 업데이트를 허용한 사용자를 겨냥하며, Claude Code와 Codex의 기본 설정처럼 백그라운드에서 git 체크아웃이 반복 실행될 때 브랜치 이름을 해시처럼 위장해 핀을 유지한 채 악성 코드가 배포되는 구조다.
• AIR는 2026년 5월 네 에이전트 모두에서 PoC를 확보해 6월 벤더에 통보했고, 이전 연구에서 정상 동작 플러그인을 악성으로 전환해 2만6,000개 이상 에이전트에 확산시켰고 ‘SkillJacking’ 연구에서는 925개 기술 탈취로 13만4,000개 에이전트에 도달했음을 근거로 위험성을 입증했다.
• Anthropic은 Claude Code 2.1.179, OpenAI는 Codex 0.146.0에서 패치를 완료했으나 Microsoft Copilot은 아직 수정하지 않았고, Google은 Gemini CLI를 아예 폐기하고 대신 플러그인 핀닝에 의존하지 않는 신규 에이전트 ‘Antigravity’로 이전하라고 권고해 벤더별 대응 격차가 뚜렷하다.
• AI 코딩 에이전트와 플러그인 마켓을 활용하는 개발 조직이 늘어나는 상황에서 공급망 취약점이 기본 권한까지 탈취하는 구조가 드러난 만큼, 국내 공공·국방 시스템의 AI 개발 도구 도입 시 플러그인 검증·자동 업데이트 통제와 국산 에이전트 보안 설계 기준을 조기에 마련할 필요가 크다.

AI 코딩 에이전트와 플러그인 마켓 활용은 개발 효율성을 높이지만, Plugin4Shell 사례는 공급망 통제 실패가 곧 국가 핵심 시스템 권한 탈취로 이어질 수 있음을 보여준다. 국내 정책 담당자는 공공 부문 AI 개발 도구 도입 시 플러그인 검증, 자동 업데이트 정책, 벤더 패치 준수 여부를 최소 요건으로 규정하고, 국산 에이전트 개발 지원 시 공급망 안전 설계를 의무화하는 방향으로 기준을 조정할 필요가 있다.

주요 용어: 제로클릭 RCE(사용자 조작 없이 원격에서 임의 코드 실행 공격), 공급망 취약점(플러그인·라이브러리 등 외부 구성요소 경로를 통한 간접 침해), SHA 핀닝(검증된 특정 코드 버전에만 플러그인을 고정하는 무결성 확보 방식), AI 코딩 에이전트(Claude Code·Codex·Copilot 등 코드 자동 생성·수정 지원 소프트웨어), 플러그인 마켓플레이스(AI 에이전트 기능을 확장하는 외부 모듈을 배포·관리하는 플랫폼)

출처: Help Net Security