AI 코딩 도구 프롬프트 인젝션 — 작업 규칙 파일에 숨고 스캐너는 건너뜀

AI 코딩 도구에게 프로젝트 규칙을 적어 주는 파일이 있습니다. 「파이썬을 쓴다」, 「테스트는 이걸로 돌린다」 같은 걸 적어 두면 매번 설명하지 않아도 되는 파일이죠. 그런데 여기에 정상 지시처럼 보이는 한 줄을 끼워 넣자 클로드 코드와 코덱스가 모두 그대로 실행했다는 실험 결과가 나왔습니다.

이게 무서운 이유는 공격자가 내 컴퓨터를 뚫을 필요가 없다는 점입니다. 제가 남의 저장소를 내려받아 AI에게 「이거 좀 봐 줘」라고 말하는 순간, 그 안에 들어 있던 규칙 파일이 제 AI에게 말을 겁니다. 게다가 숨는 자리가 평소에 사람이 절대 안 열어 보는 폴더고, 막아 줄 거라 믿는 보안 스캐너는 오히려 멈춰 세울 수 있습니다.

📌 30초 요약

• 규칙 파일 한 줄로 두 도구 모두 실행했습니다.
• 숨는 자리는 AI 도구가 관리하는 폴더입니다.
• 보안 스캐너는 건드려서 멈춰 세울 수 있습니다.
• 정상 부품을 갈아끼우는 방식이 함께 쓰였습니다.

1. 정상 문구 한 줄에 실렸습니다

실험은 간단했습니다. 규칙 파일에 「작업 전에 개발 환경을 준비해야 한다」는 지극히 정상적인 문장을 적고, 그 안에 실행할 스크립트를 묻어 두는 방식입니다. 사람이 읽으면 준비 절차 안내로만 보이는데 클로드 코드와 코덱스 명령줄 도구가 둘 다 이걸 지시로 인식했고, 클로드 코드는 「스크립트를 실행했다」는 안내까지 화면에 띄웠습니다. 막힌 게 아니라 정상 동작으로 처리된 겁니다.

규칙 파일을 잘 쓰는 법은 따로 정리해 둔 적이 있고, 도구마다 다른 이름으로 같은 역할을 하는 파일도 있습니다. 문제는 이 파일이 「사람이 AI에게 주는 지시」와 「남이 내 AI에게 주는 지시」를 구분하지 못한다는 점입니다. 저장소에 들어 있으면 그냥 내 지시로 읽힙니다.

그래서 위험이 커지는 상황은 분명합니다. 남이 만든 저장소를 처음 열 때, 그리고 외부에서 받은 의존성이나 도구를 붙일 때입니다. 평소 내 프로젝트에서 내가 적은 규칙만 쓴다면 이 경로는 열리지 않습니다.

2. 숨는 자리는 안 여는 폴더입니다

한 단계 더 나아간 수법이 보고됐습니다. AI 도구와 편집기가 알아서 만드는 숨김 폴더에 파일을 두는 방식입니다. 점으로 시작해 탐색기에서 잘 안 보이고, 도구가 스스로 관리하는 자리라 사람이 굳이 열어 보지 않습니다. 여기에 파일을 넣으면 보안 프로그램의 감시에서도 상대적으로 덜 걸립니다.

악용되는 자리	어떻게 쓰이나
프로젝트 규칙 파일	정상 지시로 위장한 문장에 실행 명령을 묻어 둡니다. 도구가 알아서 읽습니다.
도구가 만드는 숨김 폴더	사람이 안 여는 자리에 파일을 숨겨 탐지를 피합니다.
작업공간 설정	편집기를 열 때 자동으로 도는 준비 명령 자리에 악성 스크립트를 등록합니다.
연결 도구 서버	멀쩡한 공개 서버를 악성으로 복제해 배포하거나, 공식 저장소에 직접 코드를 넣습니다.

마지막 줄이 가장 골치 아픕니다. 이름난 연결 도구 서버를 그대로 복제해 악성 코드만 얹은 판을 올려 두는 식인데, 이름도 설명도 원본과 같아 목록에서 구분이 안 됩니다. 실제로 공식 저장소에 직접 코드를 넣은 사례까지 보고됐습니다. 「유명한 걸 골랐으니 괜찮다」가 성립하지 않는다는 뜻이라, 도구를 새로 붙일 때는 배포 주소와 만든 계정을 눈으로 확인하는 수밖에 없습니다.

3. 스캐너를 멈춰 세우는 수법

여기가 이번 보고에서 가장 역설적인 대목입니다. AI로 코드를 검사하는 도구를 쓰면 이런 걸 잡아 줄 것 같은데, 오히려 그 검사를 무력화하는 방법이 함께 쓰였습니다. 방식이 기묘합니다 — 코드 주석에 대량살상무기 제조법 같은 극단적으로 위험한 요청을 적어 둡니다.

⚠️ 안전장치가 발동하면 검사가 거기서 끝납니다

검사하던 모델이 그 주석을 읽으면 안전 정책이 발동해 응답을 거부합니다. 그런데 거부하고 멈추는 바람에 정작 그 파일에 들어 있던 진짜 악성 코드는 분석되지 않은 채 넘어갑니다. 검사를 통과한 게 아니라 검사가 중단된 것인데, 결과만 보면 구분이 잘 안 됩니다. AI 검사 도구를 쓰신다면 「문제 없음」과 「검사 못 함」이 보고서에서 어떻게 표시되는지 한 번 확인해 두세요.

이 대목은 안전장치가 그대로 공격 수단이 된 사례라 눈여겨볼 만합니다. 모델이 위험한 요청을 거절하는 건 분명 옳은 동작인데, 그 거절이 「더 볼 것 없음」으로 처리되면 방어에 구멍이 납니다. 코드를 짜는 동안 취약점을 잡아 주는 도구가 있더라도 패치는 사람이 직접 해야 했던 것처럼, 검사 결과 역시 사람이 한 번은 눈으로 봐야 한다는 얘기입니다.

방어 얘기로 넘어가기 전에 한 가지를 보태야 공정하겠습니다. 공격하는 쪽도 똑같은 방식으로 AI를 부리고 있습니다. 밖으로 노출된 공격자 관제 화면을 들여다봤더니, 폴더 구조에 에이전트용 지침 파일과 지식 파일이 역할별로 나뉘어 있었습니다. 우리가 프로젝트 규칙을 적어 두는 것과 똑같은 방식으로, 정찰 담당·취약점 조사 담당을 나눠 둔 겁니다.

그 결과 속도가 달라졌습니다. 어떤 사례에서는 클라우드 계정이 뚫린 뒤 여섯 시간이 채 안 되어 대규모 자격증명 수집 작업이 완성됐습니다. 스캔 파이프라인을 스스로 관리하고 오류가 나면 알아서 고치고 접속 주소까지 돌려 가며 사람 손이 거의 닿지 않은 채로요. 노출된 관제 화면 한 곳에서 실시간으로 다루고 있던 열쇠와 비밀값이 2만 3천 개를 넘었습니다.

이렇게 모인 게 시장으로 흘러갑니다. 개발자 컴퓨터에서 정보를 빼 가는 프로그램들이 요즘 AI 도구 설정 파일을 콕 집어 노립니다. 열쇠가 평문 그대로 적혀 있는 경우가 많기 때문입니다. 실제로 유료 코딩 도구 계정이 뒷시장에서 거래되는 값이 2026년 들어 두 배 넘게 뛰었습니다. 내 계정이 남의 계산 자원으로 쓰이는 구조라, 요금이 이상하게 나오는 것으로 먼저 드러나기도 합니다.

4. 개인이 오늘 할 수 있는 것

기업용 대응책은 길지만, 혼자 쓰는 사람에게 필요한 건 몇 가지로 줄어듭니다. 핵심은 「남의 코드를 처음 여는 순간」에 한 박자 쉬는 것입니다. 규칙 파일은 길어 봐야 수십 줄이라 눈으로 읽는 데 1분도 안 걸립니다.

언제	무엇을
남의 저장소를 처음 열 때	AI에게 시키기 전에 규칙 파일부터 사람이 읽습니다. 설치·실행을 시키는 문장이 있으면 의심합니다.
숨김 폴더가 딸려 왔을 때	내가 안 만든 도구 설정 폴더가 있으면 열어서 확인합니다. 낯설면 지우고 시작합니다.
연결 도구를 새로 붙일 때	이름이 같아도 배포 주소와 만든 계정을 확인합니다. 복제판이 흔합니다.
평소	열쇠를 설정 파일에 그대로 적어 두지 않습니다. 정보 탈취 프로그램이 이 파일들을 노립니다.
낯선 코드를 볼 때	되도록 권한을 좁힌 상태로 엽니다. 다만 읽기 전용도 완벽하지는 않습니다.

마지막 줄에 단서를 단 이유가 있습니다. 권한을 좁혀 두는 건 분명 도움이 되지만 읽기 전용으로 걸어도 열쇠가 새는 경로가 따로 있기 때문입니다. 권한 설정은 피해를 줄이는 장치이지 안 읽어도 되게 해 주는 장치가 아닙니다. 결국 남의 규칙 파일을 눈으로 한 번 읽는 게 가장 싸고 확실한 방어입니다.

자주 묻는 질문 (FAQ)

Q. 제 프로젝트에도 규칙 파일이 있는데 위험한가요

제가 적은 파일이라면 문제없습니다. 위험한 건 남이 적은 규칙 파일을 제 AI가 읽는 상황입니다. 저장소를 내려받거나 외부 도구를 붙일 때만 이 경로가 열립니다. 규칙 파일 자체를 쓰지 말라는 얘기가 아닙니다.

Q. 승인 창이 뜨면 막을 수 있지 않나요

도움은 됩니다. 다만 위장 문구가 「개발 환경 준비」처럼 승인할 만해 보이는 형태라 그냥 눌러 주기 쉽습니다. 승인을 자동으로 넘기는 모드를 켜 두셨다면 그 자리에서 바로 실행됩니다. 낯선 저장소에서는 그 모드를 끄는 게 좋습니다.

Q. 어떤 도구가 영향을 받나요

실험에서 확인된 건 클로드 코드와 코덱스 명령줄 도구입니다. 다만 이건 특정 제품의 결함이라기보다 「프로젝트 안의 지시문을 읽어서 따른다」는 구조 자체의 성질이라, 같은 방식으로 동작하는 도구는 모두 같은 표면을 갖습니다.

Q. AI 보안 검사 도구를 믿어도 되나요

보조 수단으로만 보세요. 검사 모델의 안전장치를 일부러 발동시켜 분석을 중단시키는 수법이 이미 쓰이고 있습니다. 보고서에서 「문제 없음」과 「검사하지 못함」이 구분돼 나오는지 확인하시고, 중요한 코드는 사람이 한 번 봐야 합니다.

정리하면

• 규칙 파일은 주는 사람을 구분하지 못합니다.
• 숨는 자리는 도구가 만드는 폴더입니다.
• 보안 검사는 멈춰 세울 수 있습니다.
• 유명한 도구도 복제판이 돌아다닙니다.
• 남의 저장소는 규칙 파일부터 읽으세요.

※ 구글 위협 정보 그룹의 공개 보고와 이를 검증한 국내 보도(2026년 9월 14일)를 바탕으로 정리했습니다. 파일명과 명령은 우리말로 풀어 적었으니 정확한 표기는 원문에서 확인하세요.

※ 공격 수법과 도구의 대응은 빠르게 달라집니다. 여기 적은 동작은 보고 시점 기준이며, 쓰시는 도구의 판올림에 따라 막히거나 바뀔 수 있습니다.