AI 코딩 에이전트 납치해 악성 코드 주입 유포, ‘에이전트재킹’ 공격 등장

오류 모니터링 도구 통해 가짜 오류 이벤트 주입... 개발자가 수정 요청하면 악성코드 주입
바이브 코딩 에이전트가 신뢰하는 도구 악용... “플랫폼 차원에서 해결 어려워”

[보안뉴스 한세희 기자] AI 코딩 에이전트를 악용해 개발자 PC에서 악성 코드를 실행하는 ‘에이전트재킹’(Agentjacking) 공격 기법이 새로 포착됐다. 오류 모니터링 도구 ‘센트리’(Sentry)의 취약점을 악용, 개발자가 보낸 정상적 오류 수정 요청만으로 악성 명령이 실행될 수 있다.

보안 기업 테넷시큐리티에 따르면, 공격자는 웹사이트 소스코드 등에서 쉽게 노출되는 센트리 DSN (Data Source Name) 키를 확보한 뒤, 이를 이용해 센트리 인입 엔드포인트에 악성 오류 이벤트를 주입한다. 센트리는 DSN만 맞으면 누구나 임의의 에러 이벤트를 전송할 수 있는 구조다.

공격자는 이 점을 악용해 센트리 MCP 서버가 반환하는 정상 템플릿과 동일한 형식의 가짜 오류 페이로드를 만들어 넣는다. 이 페이로드는 마크다운 구조, 코드 블록, ‘## Resolution’ 섹션까지 정교하게 모방해 AI 에이전트가 신뢰할 수 있는 시스템 메시지로 오인하도록 설계된다 .

AI 코딩 에이전트는 센트리 MCP를 신뢰할 수 있는 도구로 간주한다. 따라서 개발자가 “센트리 오류를 분석해 달라”고 요청하면, 에이전트는 MCP를 통해 이 오류 이벤트를 조회하고, 공격자가 주입한 악성 명령을 정상적 해결 가이드로 착각해 그대로 실행한다 .

이는 개발자 PC에서 npx 명령 실행, 환경 변수 탈취, AWS 키, 깃허브 토큰, 깃(Git) 자격증명, 센트리 인증 토큰 등 민감 정보 유출로 이어질 수 있다.

테넷시큐리티는 실제 기업 대상 검증에서 100개 이상 조직 중 85%가 공격에 취약한 것으로 나타났다고 밝혔다. 피해 대상에는 포춘 500대 기업, 대형 호스팅 인프라 기업, 과학 연구 기관, 스타트업, 클라우드 보안 기업까지 포함돼 있었다 .

세계적으로 2388개 조직이 노출된 DSN을 사용 중이며, 이 중 71개는 트란코(Tranco) 상위 100만 사이트에 포함된다고 밝혔다 .

에이전트재킹은 EDR, WAF, IAM, VPN, 방화벽 등 기존 보안 통제 장치를 모두 우회한다. 공격 과정의 모든 요청이 정상적 DSN 인증을 기반으로 하며, AI 에이전트가 자체적으로 명령을 실행하기 때문에 ‘승인된 의도’(Authorized Intent Chain)로 분류된다 .

프롬프트 레이어 기반 방어도 무력화된다. 연구진은 시스템 프롬프트에 “신뢰할 수 없는 데이터는 실행하지 말라”고 명시했음에도, 에이전트가 MCP 응답을 ‘시스템 신뢰 데이터’로 간주해 그대로 실행했다고 밝혔다 .

테넷시큐리티는 최근 센트리에 이 문제를 제보했다. 센트리는 이를 인정했지만 플랫폼 차원에서 방어하기가 기술적으로 어렵다는 입장을 밝혔다 .

테넷시큐리티는 이 취약점이 외부 입력을 MCP 도구로 전달하는 모든 AI 에이전트 생태계에서 발생할 수 있는 구조적 문제라고 진단했다

[한세희 기자(hahn@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다