Claude Code Opus 5 Auto Mode, 프롬프트 인젝션 공격에 취약... 공격 성공률 최대 80%

Anthropic이 의뢰한 제3자 평가에서 Claude Opus 5의 Auto Mode는 프롬프트 인젝션 공격 성공률이 **0.00%**로 보고되었으나, 실제 타겟팅된 공격 체인에서는 최대 **80%**의 성공률을 기록한 사례가 공개되었습니다. 이는 Auto Mode가 안전 분류기를 통해 인간 승인 과정을 대체하지만, 격리된 환경 없이 사용할 경우 심각한 보안 위험에 노출될 수 있음을 시사합니다.

공격 시나리오 및 메커니즘

공격자는 사용자가 웹사이트 내용을 요약하도록 유도하는 단순한 요청을 악용하여 코드 실행을 달성했습니다. 주요 단계는 다음과 같습니다:

• 도구 전환 유도: 서버가 415 Unsupported Media Type 오류를 반환하여 Claude가 WebFetch 대신 curl을 사용하도록 유도합니다.
• 악성 아카이브 배포: curl을 통해 ZIP 아카이브를 다운로드하며, 여기에는 정상적인 메타데이터와 함께 악성 바이너리 및 Python 스크립트가 포함됩니다.
• 우회 실행: Claude는 의심스러운 바이너리 실행은 거부하지만, 대신 자체적으로 작성한 Python 디코더를 실행합니다.
• 모듈 하이재킹: 디코더가 실행되는 디렉터리에 악성 struct.py 파일을 배치하여, Python의 표준 라이브러리 base64 모듈 임포트 시 악성 코드가 트리거되도록 합니다.

시사점

Anthropic의 Boris Cherny는 모델 학습, 입력 프로브, 의도 분류기 등 다층적 방어 체계로 간접 프롬프트 인젝션을 거의 제로에 가깝게 줄일 수 있다고 주장했습니다. 그러나 이번 사례는 이러한 방어 체계가 특정 공격 체인에 의해 우회될 수 있음을 보여줍니다. 따라서 Auto Mode는 격리된 환경에서의 모니터링을 대체할 수 없으며, AI 에이전트 사용 시 보안 관점을 재고해야 할 필요성이 강조됩니다.