공격자가 인터넷에 노출된 Sentry(에러 추적 도구)의 공개 키를 주워 가짜 에러 보고서를 하나 넣는 것만으로, Claude Code·Cursor·Codex 같은 AI 코딩 도구를 조종할 수 있다는 연구가 나왔어요. 가짜 에러 안에 '이렇게 고치세요'라며 악성 명령을 심어두면, 개발자가 AI에게 'Sentry 이슈 고쳐줘'라고 시켰을 때 AI가 그 명령을 믿고 그대로 실행해 클라우드 키나 토큰을 빼돌릴 수 있어요. 다만 이 공격은 Sentry 연동을 켜둔 상태에서 개발자가 에러 처리를 직접 요청해야 발동하는데, 연구에서 성공률이 85%에 달했고 노출된 조직이 2,388곳이나 확인됐어요. 정작 Sentry는 '구조적으로 막기 어렵다'며 근본 수정을 거부해, 당분간 개발자 스스로 막아야 해요.
운영자 인사이트
외부 도구가 준 내용을 AI가 '믿을 수 있는 출력'으로 받아 명령까지 실행하는 구조가 핵심 약점이에요. Sentry처럼 외부 데이터를 끌어오는 연동을 쓴다면, 에이전트가 그 안에 든 명령을 자동으로 실행하지 않도록 막아두는 게 좋아요.
여러 관점으로 보기
- 공격 실증 보안업체 테넷이 가짜 에러로 코딩 에이전트를 가로채는 과정을 공개했어요. Tenet Security
- 벤더 대응 Sentry는 공개 키는 원래 그런 용도라며 근본 수정은 어렵다는 입장이에요. The New Stack