[보안 경보] AI 에이전트의 치명적 약점: '.md' 파일이 멀웨어 실행 파일이 된다? (AGENTS.md 공격 분석)

소제목 1: AI 에이전트 시대의 그림자: 신뢰가 무기가 되는 순간#

최근 우리는 AI 에이전트가 단순한 챗봇을 넘어, 스스로 파일을 읽고 코드를 수정하며 컴퓨터 시스템을 조작하는 '자율적 에이전트'의 시대로 진입하고 있습니다. 하지만 이 놀라운 진보는 역설적으로 보안의 패러다임을 완전히 뒤흔들고 있습니다.

최근 보안 연구 기관인 Forever Security의 보고에 따르면, 공격자들은 매우 단순한 마크다운(.md) 파일을 활용하여 AI 에이전트를 해킹하는 데 성공했습니다. 이는 마치 우리가 흔히 사용하는 텍스트 문서가, 에이전트에게는 강력한 실행 권한을 가진 '명령어 세트'로 작동하는 것과 같습니다.

특히 한국의 수많은 개발자분들이 사용하는 클라우드 기반 코딩 환경이나 자동화 워크플로우에서 이 문제는 더욱 치명적입니다. 브라우저가 사용자의 명시적 동의 없이도 'Downloads' 폴더에 파일을 내려받을 수 있다는 점을 악용하기 때문입니다. 즉, 사용자는 아무것도 하지 않았음에도 불구하고, 에이명(Agent)은 이미 오염된 지시사항을 읽고 있는 셈입니다.

소제목 2: 심층 스펙 분석: AGENTS.md와 프롬프트 인젝션의 진화#

이번 공격의 핵심은 기존의 텍스트 기반 프롬프트 인젝션을 넘어, '파일 시스템'이라는 물리적 경로를 결합했다는 점에 있습니다. 공격 메커니즘을 기술적으로 분석하면 다음과 같습니다.

• 공격 벡터의 자동화: 브라우저는 웹사이트 방문 시 특정 파일 형식을 사용자 모르게 다운로드할 수 있습니다. 공격자는 이 점을 이용해 ~/Downloads 폴더에 AGENTS.md라는 파일을 심어둡니다.
• 마크다운의 무기화: 에이전트는 프로젝트의 맥락을 파악하기 위해 폴더 내의 마크다운 파일을 읽도록 설계되었습니다. 이 파일 내에 토큰 탈취나 npm install과 같은 악성 명령을 포함시키면, 에이전트는 이를 할루시네이션(환각)이 아닌 '정당한 지시'로 인식하여 수행합니다.
• 실제 피해 사례: 연구진은 function-color라는 악성 npm 패키지를 설치하도록 유도하는 공격을 확인했습니다. 이는 에이전트가 가진 높은 권한을 이용해 시스템 전체의 제어권을 뺏거나, API 접근 권한을 가진 파라멀터 및 환경 변수를 탈취할 수 있음을 의미합니다.

중요한 점은 이것이 AI 모델의 파라미터 자체에 결함이 있는 것이 아니라는 사실입니다. 에이전트가 '지시를 충실히 따르도록' 설계된 그 기능 자체가 공격의 통로가 된 것입니다. 이는 마치 정교하게 설계된 자물쇠가, 열쇠를 꽂는 행위 자체를 허용하기 때문에 발생하는 구조적 문제입니다.

소제목 3: 한눈에 보는 공격 방식 비교 분석 (E-E-A-T 데이터 테이블)#

기존의 프롬프트 인젝션과 이번에 발견된 파일 기반 공격의 차이점을 명확히 이해하는 것이 방어의 첫걸음입니다.

소제목 4: 실전 보안 가이드 및 주의사항#

AI 에이전트의 편리함을 누리면서도 보안을 지키기 위해서는 '제로 트러스트(Zero Trust)' 원칙을 적용해야 합니다. 에이전트가 읽는 모든 파일은 잠재적인 위협이 될 수 있음을 명심하십시오.

✅ 이런 분께 추천하는 보안 수칙 (적극 권장):

• 에이전트 실행 환경 격리: 에이재트(Agent)를 실행할 때 반드시 Downloads 폴더나 Temp 폴더가 포함되지 않은, 깨끗하고 격리된 샌드박스 환경이나 Docker 컨테이너를 사용하세요.
• 지시 파일 검토 습관: 프로젝트 폴더 내에 본인이 직접 작성하지 않은 AGENTS.md, .claude/settings.json 등의 파일이 있다면 반드시 내용을 확인한 후 에이전트를 구동하십시오.
• 설정 파일 모니터링: 에이전트의 설정 파일 내에 낯선 ANTHROPIC_BASE_URL이나 프록시 설정이 추가되었는지 주기적으로 체크하세요.

❌ 이런 방식은 위험합니다 (주의 필요):

• 다운로드 폴더에서 즉시 에이전트나 코딩 도구를 실행하는 행위.
• 깃허브(GitHub)에서 클론(Clone)한 저장소 내의 모든 파일을 검토 없이 에이전트에게 통째로 읽게 하는 행위.

자주 묻는 질문 (FAQ)#

Q1. 이미 파일을 다운로드했는데, 에이전트를 실행해도 안전한가요?
A1. 위험합니다. 만약 에이전트가 해당 폴더를 스캔하도록 설정되어 있다면, 다운로드된 악성 마크다운 파일을 읽고 즉시 명령을 수행할 수 있습니다. 즉시 해당 파일을 삭제하고 폴더를 정리하십시오.

Q2. 이 공격은 모델 자체의 버그인가요?
A2. 아닙니다. 이는 모델의 버그가 아니라, 에이전트가 파일을 읽고 지시를 따르는 '정상적인 기능'을 악용하는 공격입니다. 따라서 모델 업데이트만으로는 해결이 어려우며, 사용자의 환경 격리 조치가 필수적입니다.

필자의 한마디 & 결론#

이번 사건은 AI 에이전트가 우리 삶에 깊숙이 들어올수록, 보안의 경계 또한 '디지털 데이터'에서 '로컬 파일 시스템'으로 확장되어야 함을 시사합니다. 우리는 이제 AI의 지능뿐만 아니라, 그 지능이 닿는 '손길(파일 접근 권한)'까지도 관리해야 하는 시대를 살고 있습니다.

AI는 강력한 도구이지만, 그 도구가 우리를 향한 칼날이 되지 않도록 방향을 결정하고 통제하는 것은 결국 우리 인간의 몫입니다. 여러분은 AI 에이전트의 자율성과 보안 사이에서 어떤 균형점을 찾고 계신가요? 여러분의 소중한 의견을 댓글로 들려주세요.

AI는 도구일 뿐, 방향을 결정하는 것은 우리 인간입니다. 여러분의 생각은? 딥러너였습니다.

출처: https://www.techradar.com/pro/security/ai-agents-tricked-by-a-rogue-downloads-file-into-running-dangerous-malware