보안회사 이머시브랩스가 8월 6일 낸 분석이에요. 한 번 신뢰를 준 저장소에서 악성 PR 브랜치로 갈아탄 뒤 클로드 코드를 열기만 하면 브랜치에 들어 있던 .mcp.json 의 command 를 세션 시작 시 도구 목록을 훑는 과정에서 그대로 실행한다는 내용이고, 시연에 쓴 값은 공격자 서버로 되붙는 원격 접속 명령이었어요. 앤트로픽은 '보안 경계는 신뢰를 준 그 지점이고, 그 신뢰는 이후 받아 오는 다른 브랜치의 설정까지 덮는다'며 신고 접수를 거절해 패치도 CVE 번호도 없는데, 정작 공식 문서는 .mcp.json 서버는 승인을 받고 쓴다고 적어 놔서 승인을 이미 준 이름을 재사용하거나 자동 승인을 켜 둔 환경이 실제 사정권이에요.
용어 풀이
- MCP
- AI 도구를 외부 프로그램·데이터에 붙이는 공통 연결 규격
- PR
- 풀 리퀘스트. 남의 저장소에 코드 변경을 제안해 합쳐 달라고 요청하는 것
- CVE
- 공개된 취약점에 붙는 국제 관리 번호
운영자 인사이트
팀에서 프로젝트 MCP 서버 자동 승인을 켜 뒀거나 .mcp.json 을 리뷰 대상에서 빼 놨다면 지금이 점검할 때예요 — 앤트로픽이 안 고치겠다고 한 이상 남는 방어선은 'PR 리뷰에서 설정 파일을 코드처럼 본다'와 '신뢰 폴더를 저장소별로 좁게 준다' 둘뿐이에요.
여러 관점으로 보기
- 공격자 관점 — 분석 원문 신뢰한 폴더에서 브랜치만 갈아타면 .mcp.json 의 command 가 사용자 권한으로 먼저 돌아가고, 계정 로그인 전에도 걸린다고 적었어요. Immersive Labs
- 공급업체 문서 — 승인 절차는 있다고 적혀 있어요 공식 문서는 '보안상의 이유로 .mcp.json 의 프로젝트 서버는 쓰기 전에 승인을 묻는다'고 명시하고, 되돌리는 명령으로 claude mcp reset-project-choices 를 안내해요. Anthropic
- 설정 관점 — 자동 승인이 문을 열어요 승인 기록은 서버 이름 목록으로 남고, enableAllProjectMcpServers 를 켜면 .mcp.json 에 정의된 서버가 전부 자동 승인돼요. Anthropic