보안 블로그 Embrace The Red 이 8월 26일 올린 실험에서, 공격자 서버가 웹 요청을 거절하는 415 응답으로 클로드 코드를 WebFetch 대신 curl 로 밀어내자 클로드는 압축 파일에 같이 든 실행 파일은 미심쩍다며 거부하고도 자기가 해독 코드를 짜서 그 폴더에서 돌렸고, 그 순간 표준 라이브러리 대신 압축 파일에 숨어 있던 struct.py 가 불려 들어가 세션이 끝나도 살아남는 프로세스가 떴어요. 저자 집계로 다섯 번 중 세~네 번 성공했는데, 정작 클로드가 뒤늦게 그 프로세스를 죽이려 하자 이번엔 자동 모드가 그걸 막았어요. 앤트로픽은 이 신고를 '참고(Informative)'로 닫으며 자동 모드는 최선을 다하는 편의 기능이지 보안 보장이 아니고 진짜 경계는 OS 격리와 바깥으로 나가는 네트워크 통제라고 답했다고 저자가 적었어요.
용어 풀이
- WebFetch
- 클로드 코드가 웹페이지를 읽을 때 쓰는 내장 도구
- curl
- 명령줄에서 웹 주소의 내용을 받아 오는 프로그램
- VM
- 가상 머신 — 한 컴퓨터 안에 소프트웨어로 만들어 낸 별도의 컴퓨터
- OS
- 운영체제 — 컴퓨터의 기본 소프트웨어
운영자 인사이트
자동 모드를 수동으로 되돌린다고 막히는 게 아니에요 — 사람이 봐도 그 해독 코드는 멀쩡해 보이고, 위험한 건 같은 폴더에 놓인 파일이거든요. 외부에서 받은 압축 파일을 푸는 작업은 컨테이너나 VM 안에서 바깥으로 나가는 네트워크를 막고 돌리시고, 자동 모드가 승인했다는 걸 안전하다는 증거로 삼지 마세요.
여러 관점으로 보기
- 분류기가 애초에 못 보는 자리 공식 문서에 자동 모드는 작업 폴더 안 파일 편집과 읽기를 분류기에 보내지 않고 바로 승인한다고 적혀 있고, 분류기에 넘어가는 내용에서 도구가 돌려준 결과는 통째로 빠진다고도 적혀 있어요. Anthropic
- 앤트로픽이 내건 숫자는 720번 중 0번 8월 7일 자동 모드를 Pro·Max·Team 기본값으로 켜면서, 외부 평가 720번의 인젝션 시도 중 오푸스 5 자동 모드를 뚫은 건 하나도 없었다고 적었어요. 다만 '분류에 기대는 방식이라 위험이 사라지진 않는다'는 단서도 같은 글에 있어요. Anthropic
- 구조적 한계를 앤트로픽이 먼저 적어 뒀어요 3월에 나온 설계 설명에는 분류기의 인젝션 방어가 '도구 결과를 아예 보지 않는' 구조적 방어라고 적혀 있고, 실제 과잉 행동을 놓치는 비율 17%가 '솔직한 숫자'라고 적혀 있어요. Anthropic