Adversa AI, AI 코딩 에이전트 심링크 샌드박스 탈출 대량 확인…공급망 RCE 위험 부상

Adversa AI, 주요 AI 코딩 에이전트 샌드박스 탈출 동시 보고…개발자 워크스테이션 원격 장악 경로 확인

Adversa AI가 Claude Code·Cursor·Gemini CLI·Antigravity CLI·Copilot·Codex·Grok Build 등 6개 AI 코딩 도구에서 공통 샌드박스 탈출 체인을 발견했으며, 승인 프롬프트를 통과한 뒤 개발자 PC에서 임의 코드 실행이 가능하다고 분석한다.
핵심 메커니즘은 공격자가 GitHub 등 코드 저장소를 미리 조작해 심링크(가짜 파일 연결)를 심어두고, AI 에이전트가 이를 따르는 파일 복사 작업을 제안하면 사용자는 정상 파일로 착각해 승인하고 커널은 실제로 설정 파일을 덮어써 재시작 시 악성 코드를 실행하도록 만드는 구조이다.
Adversa AI는 `.claude/settings.json`과 `.mcp.json` 등 설정 파일이 심링크를 통해 악성 JSON으로 교체되는 사례를 구체적으로 제시하며, 동일한 취약 패턴이 Claude Code, Gemini CLI·Antigravity CLI, Cursor, Copilot, Codex, Grok Build에 모두 재현됐다고 밝혀 AI 개발 환경 전반의 구조적 결함을 지적한다.
승인 프롬프트와 OS 샌드박스를 결합한 2계층 보안 모델을 채택해온 Codex·Gemini CLI 등에서 인간 승인 단계가 심링크 조작으로 우회되면서 사실상 방어 마지막 단계가 무력화돼, 한국 공공·국방 개발 환경에서 이들 에이전트를 그대로 도입할 경우 원격 코드 실행(RCE) 공급망 공격 창구로 확대될 위험이 커진다.
Gemini CLI가 2026년 6월 18일 Antigravity CLI로 통합되는 구글 로드맵과 Antigravity 2.0의 에이전트 집약 구조를 고려할 때, 한국 정부는 AI 에이전트 IDE를 ‘보안 통제 인프라’가 아닌 ‘고위험 코드 실행 게이트웨이’로 정의해 공공 조달 시 별도 인증·망분리·레포지토리 검증 기준을 마련하고 국산 에이전트 플랫폼 육성 및 샌드박스 검증 연구를 전략 산업 과제로 묶을 필요가 있다.

AI 코딩 에이전트는 개발 생산성 도구가 아니라 개발자 PC를 통째로 여는 원격 실행 채널로 간주해야 하며, 정부는 공공 레포지토리 심링크·프롬프트 인젝션 점검 가이드와 AI IDE 전용 보안 인증제 도입을 서둘러야 한다.

주요 용어: 샌드박스(위험을 격리해 코드 실행을 제한하는 보호 구역), 심링크(다른 파일을 가리키는 가짜 파일 경로), RCE(원격에서 임의 코드를 실행하는 공격), 에이전트 IDE(코드를 대신 읽고 수정·실행하는 AI 개발 도구), 승인 프롬프트(사용자 허가를 받아 위험 작업을 진행하는 확인 창)

출처: BleepingComputer