펜테라(Pentera) 레드팀이 클로드 데스크톱을 원격 명령 실행 도구로 바꾼 공격 체인을 공개했어요. 먼저 탈취한 이메일 계정으로 피해자의 클로드 계정에 들어가, 여러 기기에 자동 동기화되는 개인 설정 안에 몰래 악성 지시문(base64로 숨김)을 심어요. 그다음 피해자가 클로드 데스크톱을 열면 그 지시문이 조용히 작동해, 이미 연결된 MCP 커넥터(예: Desktop Commander)를 찾아 공격자 명령을 실행하거나, 커넥터가 없으면 진짜 같은 가짜 오류 메시지로 악성 링크를 누르게 유도해요. 핵심은 클로드 자체의 취약점이 아니라, 사용자가 이미 권한을 준 커넥터와 'AI를 믿는 마음'을 악용해 AI를 명령 대리 실행자로 세운다는 점이에요. 앤트로픽은 이를 취약점이 아니라 '설계된 기능'이라고 답했어요.
용어 풀이
- MCP
- Model Context Protocol의 약자. AI 비서가 파일·프로그램 등 외부 도구·시스템에 연결해 실제 작업을 수행하게 해주는 표준 연결 방식.
- 커넥터(connector)
- AI를 특정 도구나 시스템에 이어 주는 연결 모듈. 권한을 받으면 AI가 그 도구로 명령을 실행할 수 있음.
- RCE
- Remote Code Execution, 원격 코드 실행. 공격자가 대상 컴퓨터에서 원하는 명령·프로그램을 원격으로 실행하는 것.
- C2
- Command and Control, 명령·제어. 공격자가 감염된 시스템에 명령을 내리고 결과를 받는 원격 조종 통로.
- 레드팀(red team)
- 조직의 허가를 받아 실제 공격자처럼 침투를 시도해 보안 약점을 찾아내는 모의 공격 전문가 팀.
운영자 인사이트
MCP 커넥터에 명령 실행 권한을 주는 순간, 계정이 털리면 AI가 곧바로 공격 대리 실행자로 돌변할 수 있어요. 커넥터 권한은 '한 번 켜두고 잊는' 대상이 아니라, 최소 권한으로 좁히고 주기적으로 점검해야 하는 공격 표면이에요.
여러 관점으로 보기
- 공격 체인·제조사 대응 탈취 이메일에서 개인 설정 오염, MCP 커넥터를 통한 원격 명령 실행까지의 전 과정과, 앤트로픽이 '설계된 기능이라 취약점 아님'이라 답한 내용을 함께 다뤘어요. The Register
- 종합 보도 (클로드 원격 실행 + 딥시크) 클로드 데스크톱이 원격 명령 실행에 악용된 사례와 딥시크(DeepSeek)의 악성코드 생성 문제를 한데 묶어 정리한 보안 매체 보도예요. TechNadu
- 관련 위협 — 딥시크 악성코드 체크포인트가 딥시크로 만들어진 파일 약 3천 개 중 1,383개를 악성으로 분류했고, 브라우저만으로 동작하는 새 랜섬웨어 기법까지 실제로 만들어냈다고 밝혔어요. Check Point Research