Plugin4Shell: SHA 고정도 뚫린 AI 코딩 에이전트 플러그인 업데이트 취약점

Plugin4Shell은 보안업체 Air가 공개한 것으로, 주요 AI 코딩 에이전트의 플러그인 처리 과정에 존재한다고 보고된 고위험 제로클릭 원격 코드 실행(RCE) 취약점이다. 언어 모델 자체의 결함이라기보다, 개발자가 신뢰해 이미 설치한 플러그인이 악성 코드 실행 경로로 바뀔 수 있는 소프트웨어 공급망 문제에 가깝다. 23

SHA로 버전을 고정했는데도 왜 우회됐나

플러그인 마켓플레이스는 통상 Git 커밋 SHA로 특정 플러그인 리비전을 식별한다. 특정 커밋에 고정(pin)했다면, 에이전트는 그 정확한 코드만 가져오고 결과물이 기대한 SHA와 일치하는지 확인해야 한다.

하지만 Air의 보고에 따르면 문제의 구현은 체크아웃 이후 검증이 빠져 있었다. 에이전트는 마켓플레이스가 지정한 커밋을 체크아웃했지만, 실제로 내려받은 파일이 그 고정된 커밋과 일치하는지는 검증하지 않았다. 플러그인 저장소를 통제한 공격자는 체크아웃 결과가 악성 코드를 가리키도록 만들 수 있고, 에이전트는 여전히 해당 플러그인을 고정된 신뢰 대상처럼 취급할 수 있다는 것이다. 2

핵심은 단순하다. 해시는 애플리케이션이 실제로 받은 산출물을, 처음 의도한 불변 값과 독립적으로 대조할 때만 보안 효과가 있다. 마켓플레이스 메타데이터에 SHA 고정 정보가 있다는 사실만으로는, 체크아웃 뒤의 검증이 없다면 사용자를 보호하지 못한다.

‘제로클릭’으로 불리는 이유

침해 시점에 개발자가 새 설치를 승인할 필요가 없기 때문이다. 정상 플러그인이 이미 설치돼 있다면 자동 업데이트가 공격자가 통제한 대체 코드를 받아 실행할 수 있으며, 별도의 팝업 승인·클릭·재설치는 필요하지 않다. 26

따라서 최초 침투 지점은 개발자 PC가 아니라 그 상위 단계다. 신뢰받는 플러그인 저장소나 게시 경로를 장악하는 것이 공격의 출발점이 될 수 있다. 사용자가 수상한 확장 프로그램을 직접 설치해서 생기는 문제라기보다 공급망 위험으로 봐야 하는 이유다.

코드 실행 뒤 공격자가 접근할 수 있는 범위

개발 환경에서 원격 코드 실행이 성립하면, 공격자는 해당 에이전트 프로세스와 사용자가 가진 권한 범위에 사실상 접근할 수 있다. 공개 보도에 따르면 여기에는 직원이 접근 가능한 회사 시스템과 데이터가 포함될 수 있다. 34

실제 노출 범위에는 로컬 소스 파일, 저장소, 빌드 도구, 환경 변수, 개발 세션에서 사용 가능한 자격증명이 포함될 수 있다. 이 자격증명이 클라우드 계정, 소스 코드 관리 서비스, CI/CD 시스템 또는 연결된 도구에 대한 접근을 허용한다면, 개발자 워크스테이션 침해가 조직 내부의 더 넓은 접근으로 이어질 수 있다. 다만 영향은 에이전트와 사용자 계정에 실제로 부여된 권한, 그리고 노출된 비밀정보에 따라 달라진다. 34

벤더별로 알려진 대응 현황

Air는 Plugin4Shell이 Claude Code, OpenAI Codex, Copilot, Gemini CLI에 걸쳐 있다고 보고했다. 2

• Anthropic Claude Code: Air와 후속 보도는 Claude Code 2.1.179에 수정이 포함됐다고 전했다. 12
• OpenAI Codex: Codex 0.146.0에 수정이 포함됐다고 보고됐다. 12
• Google Gemini CLI: 보도는 영향을 받는 Gemini CLI 경로가 지원 종료된 경로이며, Google이 이 레거시 경로를 수정하지 않을 것이라고 설명했다. 사용자는 패치를 기다리기보다 해당 경로에서 벗어나야 한다. 13
• Microsoft 및 GitHub Copilot: Air는 Copilot을 영향 대상에 포함했지만, 공개된 설명에서는 단일하고 이견 없는 해결 결론이 제시되지는 않았다. 조직은 하나의 주장만으로 모든 Copilot 배포 환경을 판단하지 말고, 실제 사용 중인 Copilot 제품, 확장 프로그램 채널, 업데이트 설정, 중앙 정책 통제를 각각 점검해야 한다. 234

이번 공개는 상황이 빠르게 바뀔 수 있다. 특정 설치 환경이 해결됐다고 판단하기 전, 운영 중인 에이전트의 정확한 버전과 벤더 보안 권고를 반드시 확인해야 한다.

개발팀과 보안팀이 지금 할 일

수정 버전으로 업데이트하는 것이 첫 단계다. 더 근본적으로는 AI 코딩 에이전트의 플러그인을, 권한 있는 개발 환경에서 실행되는 제3자 소프트웨어로 관리해야 한다.

권장 조치는 다음과 같다.

• 플러그인·확장 프로그램 자동 업데이트를 제한한다. 에이전트가 설치하거나 실행할 코드 변경은 검토 절차를 거치게 한다.
• 필요한 플러그인, 게시자, 불변 버전만 허용목록에 넣는다. 개발 환경이 신뢰하는 공급망 연결 수를 최소화한다.
• 가져온 뒤 산출물을 검증한다. 디스크에 내려받은 코드가 승인된 고정 커밋 또는 아티팩트 식별자와 일치하는지 강제 확인하고, 일치하지 않으면 중단해야 한다. 28
• 더 강한 출처 검증을 적용한다. 단순히 변경 가능한 업데이트 채널을 신뢰하는 대신, 신뢰된 게시자와 불변 아티팩트 또는 버전을 승인 정책에 직접 묶어야 한다.
• 최소 권한 원칙을 적용한다. 꼭 필요하지 않다면 에이전트 프로세스에 광범위한 운영 환경 접근권이나 장기 자격증명을 주지 않는다. 가능하다면 격리 또는 샌드박스 환경에서 실행한다.
• 비밀정보 노출 여부를 점검한다. 영향받은 에이전트나 플러그인이 개발자 단말에서 실행됐을 가능성이 있다면 관련 자격증명을 교체하고 접근 로그를 조사해야 한다. 잠재 피해 범위는 해당 단말이 가진 접근 권한을 따라간다. 34

프롬프트 인젝션과는 무엇이 다른가

Plugin4Shell은 AI 에이전트가 기존 보안 문제를 얼마나 크게 증폭할 수 있는지 보여준다. 코딩 에이전트는 저장소, 클라우드 도구, 토큰, 배포 워크플로와 나란히 동작하며 플러그인을 내려받는다. 업데이트 경로의 침해는 결국 자격증명 탈취, 소스 코드 유출, 인프라 접근의 통로가 될 수 있다. 34

이는 프롬프트 인젝션 문제를 대체하는 것이 아니라, 별개의 위험으로 더해진다. 악성 저장소·이슈·문서·도구 출력은 에이전트가 위험한 행동을 하도록 유도할 수 있다. 반면 Plugin4Shell은 새 지시나 사용자 승인을 기다리지 않고도 악성 코드를 실행할 수 있다는 점에서 다르다. 에이전트가 도구를 사용하고 의미 있는 권한을 보유할수록 두 위험 모두 심각해진다.

결론은 명확하다. AI 코딩 에이전트는 단순 편집기 확장이 아니라 권한 있는 자동화 엔드포인트로 관리해야 한다. 신속히 업데이트하고, 설치·접근 범위를 제한하며, 개발 환경에 들어오는 코드가 정확히 무엇인지 검증해야 한다.