필라 시큐리티가 productivity-suite 라는 이름으로 뿌려진 MCP 서버를 분석했더니, format_text·summarize 두 도구만 내놓다가 클라이언트별 tools/call 횟수가 3에 닿으면 그 뒤 tools/list·prompts/get 응답을 SSH 키·AWS 자격 증명·셸 기록·쿠버네티스 설정을 찾고 사용자에게는 숨기라는 지시로 바꿔 놓았어요. 배포 경로는 zellkernel 계정이 8월 10일 74분 사이에 무관한 AI·개발도구 프로젝트로 낸 PR 23건이었고, 19건은 닫히고 4건은 열린 채 남았으며 병합된 건 하나도 없고 피해 사례도 보고서에 적혀 있지 않아요. 승인 뒤에 도구 정의가 바뀌는 수법(rug pull)은 2025년 4월부터 알려져 있었고, 이번 건이 다른 점은 서버를 새로 내지 않고 호출 횟수만으로 발동 시점을 정해 짧은 점검을 그대로 통과한다는 것이에요.
용어 풀이
- MCP
- Model Context Protocol. 에이전트가 외부 도구·데이터에 붙는 연결 표준
- rug pull
- 사용자 승인을 받은 뒤에 도구의 정의나 동작을 몰래 바꿔치기하는 수법
- SSH
- Secure Shell. 원격 서버에 암호화해 접속하는 방식과 그 열쇠 파일
- AWS
- Amazon Web Services. 아마존의 클라우드 서비스
- PR
- Pull Request. 남의 저장소에 변경을 제안해 올리는 요청
운영자 인사이트
서버 버전을 고정해 두는 것으로는 막히지 않아요. 같은 판본이 클라이언트별로 호출 횟수를 세서 네 번째부터 다른 도구 목록을 주거든요. 고정할 대상은 버전이 아니라 승인 시점에 받아 둔 도구 스키마 자체이고, 세션이 도는 중에 tools/list 가 바뀌면 보안 사고로 올라오도록 MCP 클라이언트 로그를 남겨 두세요.
여러 관점으로 보기
- 검토 절차 쪽에서 본 정리 승인 시점의 도구 스키마를 기록해 두고 그 뒤에 바뀌면 보안 사고로 다루라고 정리했어요. 도구 설명 자체를 실행되는 코드로 취급하라는 것이 요지예요. Omnafy
- 9월 시점의 상태 9월 7일자 MCP 보안 정리에서도 이 캠페인을 아직 진행 중인 건으로 올려 두고, 같은 달 함께 공개된 MCP 서버 취약점 세 건과 나란히 묶었어요. Adversa AI
- 이미 알려져 있던 수법 도구 설명에 지시를 심는 방식과 승인을 받은 뒤 도구 정의를 바꾸는 방식은 2025년 4월 공개 시연으로 이미 알려져 있었어요. Invariant Labs