클로드 코드·코덱스·제미나이 CLI·코파일럿에 플러그인 검증 결함 공개

보안업체 에어 시큐리티가 앤트로픽 클로드 코드, 오픈AI 코덱스, 구글 제미나이 CLI, 마이크로소프트 깃허브 코파일럿에 영향을 미치는 플러그인 검증 결함을 공개했다.

고정값을 확인하지 않는 구조

마켓플레이스는 플러그인을 특정 커밋 해시로 고정한다. 커밋 해시는 코드의 특정 시점을 가리키는 고유한 값으로, 어떤 버전을 설치할지 못 박는 데 쓰인다. 그러나 에이전트가 실제로 설치한 코드와 그 해시가 맞는지 확인하지 않는다는 것이 에어 시큐리티의 설명이다.

해시처럼 보이는 이름의 브랜치를 허용하는 저장소에서는, 소유자가 그 이름이 다른 코드를 가리키게 해 고정된 것과 다른 코드를 설치하게 만들 수 있다. 오픈AI는 공개 수정 내역에서 깃이 요청된 커밋 SHA를 브랜치 이름으로 해석할 수 있어 고정한 것과 다른 커밋이 설치될 수 있다고 설명했다.

클로드 코드와 코덱스에서는 백그라운드 자동 업데이트가 기본으로 작동해 이미 설치된 플러그인이 별도 확인 없이 교체될 수 있다는 것이 에어 시큐리티의 지적이다. 다만 이 기본 자동 업데이트는 깃허브 기반 기본 마켓플레이스에 한정되고 외부 마켓플레이스에서는 꺼져 있거나 선택 사항이며, 깃허브는 커밋 해시 형태의 브랜치·태그 이름을 허용하지 않아 해당 브랜치 이름 방식에는 노출되지 않는다고 AI타임스는 4개 제품이 최초 등록 때 악성코드를 검사하지만 이후 업데이트는 다시 검증하지 않았다고 보도했다.

저장소와 제품에 따라 갈리는 조건

에어 시큐리티는 해시 형태 이름을 허용하는 비트버킷이나 사내 깃 서버에서는 이 방식이 성립하며, 문제의 에이전트들이 그런 저장소도 지원한다고 밝혔다. 제미나이 CLI에서는 기본 브랜치 이름이 FETCH_HEAD인 저장소를 이용하는 별도 방식이 가능하고, 깃허브의 이름 제한이 이를 명확히 차단하지 않는다고 덧붙였다.

앤트로픽은 클로드 코드 2.1.179에서, 오픈AI는 코덱스 0.146.0에서 결함을 수정했다. 구글은 지원 종료 예정인 제미나이 CLI에 패치를 제공하지 않고 사용 중단을 권고했다. 깃허브 코파일럿에는 수정이 적용되지 않았으며, 마이크로소프트는 같은 이름으로 다른 소프트웨어를 다시 올리는 행위가 플랫폼에서 차단돼 악성 스킬을 깃허브에 호스팅하기 어렵다는 입장을 밝혔다.

남은 쟁점

에어 시큐리티는 2026년 5월 네 제품을 대상으로 작동 시험 공격을 구현하고 같은 해 6월 각 개발사에 알렸다고 The Hacker News에 밝혔다. 니브 호프만 에어 시큐리티 공동창업자 겸 최고기술책임자는 네 회사가 검증 구조에서 같은 논리적 오류를 범했다고 평가했다고 고정 버전 검증이 사용자 기기의 에이전트에서 수행되므로 수정도 에이전트 자체에 담겨야 한다는 것이 에어 시큐리티의 분석이다. The Hacker News는 2026년 9월 18일 기준 CVE 식별번호와 네 업체의 보안 권고문이 없었고 실제 공격에 이용된 정황도 확인되지 않았다고 보도했다. 같은 매체가 2026년 9월 18일 확인한 결과 앤트로픽 커뮤니티 카탈로그와 클로드 코드·코파일럿 기본 카탈로그의 플러그인은 모두 깃허브 저장소를 가리켰다.