Chef turned vibe coder, love building but I'm terrified of sharing it with anyone because of the vibe coder hate I keep seeing around.
Colshare, 자체 공격 테스트서 기업용 위조 키 전달 결함 수정
문서 공유 서비스 Colshare 개발자가 10월 29일 AI 에이전트로 서비스 복사본을 세 차례 공격 테스트해 여러 문제를 수정했다고 공개했습니다. 서버 저장소에 쓸 수 있는 공격자가 기업용 기기에 위조 키를 전달하는 치명적 결함도 발견됐습니다. 테스트는 개발자가 지휘한 자체 검증이며 독립 감사는 별도로 진행할 계획입니다.
- 주제
본문
Colshare 개발자는 2026년 10월 29일 AI 에이전트로 서버와 앱, 링크 페이지, 기업용 데스크톱 화면의 로컬 복사본을 세 차례 공격 테스트했다고 공개했습니다. 가장 심각한 문제는 서버 저장소에 쓸 수 있는 공격자가 기업용 기기에 위조 키를 전달해 고객의 문서를 열 수 있다는 점이었습니다. 개발자는 키 생성마다 앞선 키의 서명을 요구하고 새 기기를 초대 기기가 승인하도록 수정했다고 밝혔습니다.
일회용 링크도 고쳤습니다. 기존에는 파일의 마지막 조각을 내려받은 뒤 페이지가 열림을 확인할 때까지 최대 15분 동안 암호화 파일이 남을 수 있었습니다. 이제 마지막 조각을 받는 다운로드가 끝나는 즉시 파일을 삭제합니다. 링크 ID만 가진 사람이 파일을 내려받아 링크를 먼저 소진할 수 있던 문제에는 키에서 만든 토큰을 추가해 대응했습니다.
테스트 문서는 개발자가 AI 에이전트를 지휘한 자체 테스트이며 독립 감사가 아니라고 명시합니다. 테스트는 서비스의 로컬 복사본을 대상으로 했고, 실제 데이터는 건드리지 않았으며 라이브 사이트에는 무해한 외부 점검만 했습니다. 개발자는 독립 감사를 비용을 마련한 뒤 진행하고 보고서를 공개하겠다고 적었습니다. Android 수정 사항을 반영한 첫 공개 앱 버전은 10월 30일 Google Play 심사 중이었습니다.
참고 자료
- colshare-crypto/SECURITY-TESTS.md at main · dentracon-cell/colshare-crypto · GitHub — https://github.com/dentracon-cell/colshare-crypto/blob/main/SECURITY-TESTS.md