에이전트 보안의 세 층위: 지침 유입, 실행 통제, 행동 감시
다운로드 폴더의 악성 지침은 에이전트가 신뢰하는 입력 경계의 위험을 보여주고, OpenShell은 실행 단계의 접근 통제를 제시하며, METR·Redwood Research의 평가는 모니터링의 공백을 드러냅니다. 각 자료가 다루는 보안 층위와 한계를 나눠 살펴봅니다.
Markdown Is the New Executable: Attackers Are Dropping Agent Instructions Into Your Downloads Folder From the Web
Markdown이 새 실행 파일이 됐다: 웹에서 다운로드 폴더로 AI 에이전트 지침을 심는 공격
Forever Security는 실제 고객 PC의 Downloads 폴더에서 악성 AGENTS.md를 발견하고 Codex와 Claude Code에서 공격을 재현했습니다. 웹에서 받은 지침 파일을 에이전트가 신뢰해 설정을 바꾸거나 코드를 실행할 수 있으며, 실험 성공률과 고객 원격 측정치는 회사가 보고한 범위입니다.
- 주제
에디터 노트
이 공격의 설득력은 두 정상 기능이 만나는 구체적 경로에 있습니다. Forever Security는 실제 고객 파일을 사용해 Codex와 Claude Code에서 재현했고, Codex 실험에서는 설정 변경이 사용자 홈의 전역 설정에 남았습니다. 다만 성공률은 회사 자체 시험 결과이며, 고객 원격 측정의 표본과 수집 조건은 제시되지 않았습니다. 댓글에서는 Downloads를 신뢰하지 않는 건 오래된 원칙이라는 반론과, 파일 처리 직후 에이전트를 쓰려는 현실적 동기가 함께 나옵니다. 자동 다운로드도 모든 상황에서 페이지 방문만으로 일어나는 것은 아니라는 Firefox 시험 설명이 있어 공격 경로를 더 정확히 좁혀 줍니다. 따라서 새 취약점 하나라기보다 에이전트가 다운로드물을 지침으로 채택하고 권한 있는 설정을 바꾸는 결합이 문제이며, 글의 재현은 그 결합이 두 제품에서 작동함을 보이지만 모든 에이전트에 같은 성공률을 일반화하지는 않습니다.
AI 요약
웹에서 내려받은 Markdown 지침 파일이 코딩 에이전트의 권한을 악용하는 공격으로 이어질 수 있습니다. Forever Security는 실제 고객 PC의 ~/Downloads에서 악성 AGENTS.md를 발견했습니다. 해당 파일은 일반적인 개발 지침처럼 작성됐고 Codex가 읽고 따르도록 구성돼 있었습니다. 회사는 이 파일과 공격 흐름을 Codex와 Claude Code에서 재현했다고 밝혔습니다.
공격이 성립하는 조건
브라우저는 설정과 파일 종류에 따라 웹페이지에서 사용자의 추가 승인 없이 파일을 다운로드할 수 있습니다. 반면 코딩 에이전트는 작업 폴더의 AGENTS.md나 CLAUDE.md를 지침으로 읽습니다. 공격자는 웹에서 다운로드 폴더에 지침 파일을 심고, 사용자가 해당 폴더에서 에이전트를 실행하면 파일 속 지시를 따르게 합니다. 일반 실행 파일과 달리 Markdown은 운영체제의 실행 승인 절차를 거치지 않으므로 에이전트가 읽을 때 공격이 시작됩니다.
Forever Security는 고객 PC에서 발견한 AGENTS.md를 격리된 가상 머신에서 Codex에 적용했습니다. 파일은 ~/.codex/config.toml에 MCP 서버 설정을 추가하고, npm 패키지 function-color를 설치하도록 지시했습니다. 공격 지침은 이를 프로젝트의 표준 도구 설정처럼 꾸몄고, 네트워크 차단과 서버 시작 시점 같은 제약을 우회하도록 자식 codex exec 실행도 지시했습니다. 회사 실험에서 Codex는 시도의 90% 넘게 악성 코드를 실행했습니다. 추가된 설정은 사용자 홈 디렉터리에 기록돼 다른 프로젝트의 Codex 세션에도 영향을 줄 수 있다고 보고했습니다.
Claude Code에서의 재현
Claude Code 공격은 패키지 설치 대신 API 요청 경로를 바꾸는 방식입니다. 악성 CLAUDE.md는 프로젝트의 .claude/settings.json에 ANTHROPIC_BASE_URL을 설정해 공격자 서버를 모델 API처럼 사용하게 합니다. Forever Security는 이 방식으로 OAuth 토큰이 노출되고, 서버가 모델 응답인 것처럼 도구 호출을 보내 코드 실행까지 이어질 수 있다고 설명했습니다. 회사 실험에서 지침을 따르는 비율은 약 50%였으며, 새 세션에서의 코드 실행과 하위 에이전트를 이용한 같은 세션의 코드 실행을 각각 시험했습니다. 후자는 약 5분의 1에서 성공했다고 밝혔습니다.
회사가 제시한 대응
Forever Security는 에이전트를 Downloads 폴더에서 실행하지 말고, 예상하지 못한 AGENTS.md나 CLAUDE.md와 에이전트 설정 변경을 확인하라고 권고합니다. Codex 설정의 MCP 서버 항목과 Claude Code 설정의 API 주소를 점검하고, 승인 절차와 샌드박스를 유지하라는 내용도 포함했습니다. function-color가 설치된 경우 침해된 기기로 간주하고 토큰을 교체하라고 했습니다. 회사는 실제 악성 패키지를 격리된 가상 머신에서 한 차례 실행했으며, 나머지 대부분의 시험에는 계산기를 띄우는 무해한 대체물을 썼다고 밝혔습니다.
Reddit 반응
- @best_of_badgers — 고객의 약 절반이 Downloads 폴더에서 에이전트를 실행한다는 원격 측정치가 믿기 어렵습니다.
- @ApfelbaumFlo — 놀랄 일은 텍스트 파일이 존재한다는 점이 아닙니다. 고객의 절반이 Downloads 폴더에서 코딩 에이전트를 실행한다는 점입니다. 이러다간 정말 곤란해지겠습니다.
- @Content-Winter5328 — 웹사이트가 파일을 다운로드할 수 있고 Claude가 AGENTS.md를 따르는 두 가지 정상 동작이 결합해 위험해진다는 점이 흥미롭지 않나요?
- @Intrexa — Downloads의 파일을 실행하지 말고 신뢰하지 말라는 건 오래전부터 알고 있었습니다. 다운로드 폴더의 내용을 바탕으로 소프트웨어 동작을 바꾸는 건 이미 알려진 공격 경로입니다. 이번 사례도 같은 공격입니다.
- @RegisteredJustToSay — 파일을 내려받은 뒤 에이전트에게 처리시키려는 경우가 아닐까요. "X.csv에 있는 2026년 지출을 처리해줘" 같은 식입니다. 파일을 옮기는 단계는 하나 더 생기니, 그 단계를 없애려는 행동이 흔할 수 있습니다. 그렇다고 그 관행을 옹호하는 건 아닙니다.
- @ScottContini — 웹사이트가 클릭이나 허가 없이 Downloads에 파일을 저장할 수 있다는 말이 사실인가요? 믿기 어려워서 AI에 물었더니 아니라고 했습니다. 근거가 있나요? Firefox에서는 안 될 것 같습니다.
- @bubblegumpuma — 방금 기본 설정 Firefox에서 시험했습니다. 브라우저가 표시할 수 없는 파일 링크로 이동하면 별도 상호작용 없이 Downloads에 저장됩니다. AGENTS.md 링크를 누르면 파일을 내려받고 원래 페이지에 남아 있었습니다. 누군가 웹에 올린 AGENTS.md 링크를 누르면 파일이 비교적 조용히 저장되고, 사용자가 그 폴더에서 에이전트를 실행할 때 읽히는 방식입니다.
- @ScottContini — 설명해줘서 고맙습니다.
- @iruleatants — 웹사이트는 자동 다운로드를 시작할 수 있지만 설정이나 확장 프로그램으로 막거나 확인을 요구할 수 있습니다. 브라우저는 실행 파일을 경고하고 운영체제도 인터넷에서 받은 파일의 실행을 제한합니다. 문제는 에이전트가 Mark of the Web 같은 보호를 확인하지 않고 agents.md를 읽어 지시를 따르는 점입니다.