9월 3일 게시된 한 논문은 일반적인 검토라면 확인하지 않을 AI 코딩 에이전트 대상 공급망 공격을 설명한다. 이 공격은 플러그인의 생명주기 후크 설정만 바꾸며, 그것도 업데이트 시점에 바꾼다. 즉 플러그인이 이미 검증되고 설치된 뒤에 이루어진다.

무엇을 시험했나

저자들은 1,000회의 종단 간 실행에서 하네스와 백엔드 25개 조합에 걸쳐 10가지 공격 목표를 평가했다. 결과는 이렇다. 해당 기법은 "평가한 7개 하네스를 모두 손상시키며, 하네스별 성공률은 92.5%에 이른다." 이 프레임워크는 HookPry라는 이름으로 오픈소스로 공개됐다.

탐지 수치가 핵심이다

Microsoft Defender는 이에 대해 재현율 0%을 기록했고, "세 가지 정적 방어책의 합집합은 악성 산출물의 47.5%를 놓친다." 엔드포인트 보안 제품 하나가 이를 전부 놓쳤다는 사실은 개발자용 머신에서 에이전트 플러그인을 운용하는 이들에게 중요하다. 생명주기 후크는 모델이 보지 못하는 사건에 호스트 권한으로 셸 명령을 실행하기 때문이다. 모델의 안전 학습이나 사용자의 승인 프롬프트는 그 경로 어디에도 존재하지 않는다.

업데이트 경로가 새로운 이유

버전 고정과 일회성 검토는 감사한 내용이 실제로 실행될 내용과 같다고 가정한다. 하지만 여기서는 검토 당시에는 진짜로 무해했던 플러그인이 나중에 설정만으로 무기화된다. 새로운 코드는 없고, 새로운 패키지도 없다. 논문이 드러내는 것은 바로 이 간극이며, 대부분의 팀이 보유한 통제로는 커버되지 않는다.

통상적인 해석이 놓친 점

헤드라인에는 세 가지 단서를 함께 붙여야 한다. 92.5%는 하네스 전반의 상한선이지 전체 성공률이 아니다. 성공률은 그 수치에 "도달"한다고만 되어 있어 중앙값 하네스는 더 낮고, 평균은 제시되지 않았다. "7개 하네스를 모두 손상시켰다"는 말은 10개 목표 중 적어도 하나가 각 하네스에서 성공했다는 뜻이다. 이는 커버리지이지 신뢰성이 아니다. 또 위협 모델은 원격 침해보다 좁다. 공격자는 피해자가 설치해 업데이트하는 플러그인에 대해, 이미 플러그인 메타데이터와 후크 설정을 통제하고 있어야 한다. 이는 실제 공급망상의 위치이지만, 먼저 확보해야 하는 위치이기도 하다. 7개 하네스의 이름은 초록에서 밝히지 않았고, 어떤 벤더도 대응하지 않았으며, 적용할 패치도 없다.