4대 AI 코딩 에이전트에서 제로 클릭 RCE 취약점 'Plugin4Shell' 발견

Air Security 연구팀이 Claude Code, OpenAI Codex, GitHub Copilot, Gemini CLI 등 4대 주요 AI 코딩 에이전트에서 공통적으로 발견된 제로 클릭 원격 코드 실행(RCE) 취약점 **'Plugin4Shell'**을 공개했다. 이는 AI 코딩 에이전트 생태계에서 보고된 최초의 공급망 취약점으로, 수백만 개의 에이전트와 호스트 시스템을 위험에 빠뜨릴 수 있다.

취약점 메커니즘

에이전트가 플러그인을 설치할 때 특정 커밋 해시(SHA)로 고정(pinning)하더라도, 실제 체크아웃된 코드가 해당 고정된 커밋과 일치하는지 검증하지 않는 설계 결함을 이용한다. 공격자는 저장소를 탈취하거나 악성 브랜치를 생성하여, git의 참조 우선순위 특성(브랜치가 커밋보다 우선시됨)을 악용한다. 이로 인해 사용자의 상호작용 없이도 악성 코드가 실행되며, 에이전트 접근 권한을 가진 모든 데이터와 시스템이 노출된다.

영향 및 대응 현황

취약점은 자동 업데이트 기능이 기본 활성화된 에이전트에서 특히 치명적이다. 벤더별 대응 상황은 다음과 같다.

• Claude Code: 버전 2.1.179에서 수정 완료
• OpenAI Codex: 버전 0.146.0에서 수정 완료
• GitHub Copilot: 현재 미패치 상태
• Gemini CLI: 지원 중단으로 패치 불가, Antigravity로의 마이그레이션 권장

연구팀은 마켓플레이스 차원의 차단만으로는 해결이 불가능하며, 에이전트 측에서 체크아웃 후 git rev-parse HEAD를 통해 고정된 SHA와 일치 여부를 검증하는 패치가 필수적이라고 강조했다. 또한, 공식 MCP 마켓플레이스에서 만료된 도메인을 사용하는 155개의 탈취 가능한 MCP를 발견한 'MCPjacking' 사례와 함께, AI 에이전트 생태계의 공급망 보안 리스크가 심각함을 경고했다.