벤치마크 0.00%, 실제 공격 최대 80%: Auto Mode는 분류기지 격리가 아니다

시작은 한 줄이었다. "이 사이트 요약해 줘." 보안 연구자 Johann Rehberger가 8월 26일 공개한 공격 사슬은 그 요청 하나로 Claude Code Opus 5의 Auto Mode에서 원격 코드 실행까지 갔다. 표본은 작지만 성공률은 변형에 따라 60~80%였다.

같은 Auto Mode를 두고 Anthropic이 위탁한 3자 평가는 다른 숫자를 냈다. 시나리오 72개를 각각 10회씩 돌려 간접 프롬프트 인젝션 공격 성공률 0.00%. 두 숫자가 동시에 참이다.

한 줄 정리

Auto Mode는 승인 클릭을 대신하는 분류기고 그 분류기를 통과하는 경로가 실제로 존재한다.

안전한 판단이 공격 경로였다

사슬의 순서가 이 사건의 핵심이다.

단계	벌어진 일
1	사이트가 WebFetch에 415 응답을 준다
2	Claude가 스스로 판단해 셸에서 `curl`로 갈아탄다
3	303 리다이렉트를 타고 ZIP 자료집을 받는다
4	동봉된 실행 파일 `decoder-darwin`은 수상하다며 거부한다
5	대신 파이썬 디코더를 직접 짜서 압축 푼 폴더 안에서 돌린다
6	`base64`가 `struct`를 불러오는 순간 공격자가 심은 `struct.py`가 표준 라이브러리를 가린다
7	원격 단계가 내려오고 C2 콜백이 붙는다

4단계를 다시 보라. Claude는 옳게 굴었다. 출처를 모르는 바이너리를 실행하지 않겠다는 건 사람에게도 가르치는 원칙이다. 그 판단이 공격자가 기다린 자리였다. 남이 준 프로그램은 안 믿고 자기가 쓴 코드는 믿는다.

공격문에는 "이전 지시를 무시하라" 같은 문장이 없다. 사이트는 명령하지 않고 조건만 깐다. 목표를 달성하려면 그 경로가 제일 그럴듯해 보이게.

분류기가 정리까지 막았다

더 나쁜 장면이 뒤에 있다. 몇 번의 실행에서 Claude는 뒤늦게 struct.py를 열어 보고 자기가 당했다는 걸 알아챘다. 그리고 악성 프로세스를 죽이려 했다. Auto Mode가 그 정리 명령을 차단했다.

악성 프로세스를 만드는 명령은 통과시키고 그걸 끄는 명령은 막았다. 안전장치가 사고의 일부가 됐다. 승인 흐름을 설계할 때 흔히 놓치는 대목이 여기 있다. 위험한 순간은 시작만이 아니라 수습에도 온다.

변형 하나는 더 멀리 갔다. 심어 둔 모듈이 claude -p로 헤드리스 Claude를 하나 더 띄웠다. 그 자식은 자기 도구 권한과 자기 맥락을 갖고 정찰 명령을 돌린 뒤 홈 폴더에 파일을 썼다. 페이로드가 코드를 실행하는 데서 그치지 않고 에이전트를 하나 낳았다.

0.00%가 거짓말이 아닌 이유

Anthropic은 이 신고를 Informative로 닫았고 설계대로 동작한 것이라고 답했다. Auto Mode는 최선을 다하는 분류기가 붙은 편의 기능이지 보안 보장이 아니며 실제 경계는 OS 격리와 네트워크 이그레스 통제라는 입장이다. 분류기는 샌드박스가 아니니 말이 된다.

문제는 같은 회사에서 나온 다른 메시지다. 0.00%는 시나리오 72개짜리 고정 집합에서 나온 값이다. 이번 사슬은 그 집합에 없었다. 유한한 목록에서 잰 값을 헤드라인 숫자로 내보내면 읽는 쪽은 그걸 상태로 받아들인다.

Auto Mode는 8월 중순부터 Claude Code의 기본 시작 모드다. 기본값으로 켜진 기능에 붙은 숫자는 무게가 다르다.

anyAX 관점

이 사이트를 만드는 파이프라인도 무인으로 돈다. 새벽에 피드를 긁고 아침에 노트를 쓰고 커밋과 발행까지 사람 손 없이 간다. 남의 얘기로 읽고 넘길 수가 없었다.

그래서 실무적으로 남는 건 규칙 하나다. 에이전트에게 외부 콘텐츠를 물릴 거면 승인 UI를 늘리지 말고 에이전트가 도는 자리를 옮겨라. 승인 화면은 이번 사슬을 못 막는다. 사람이 봤어도 4단계에서 똑같이 통과시켰을 테니까. 바이너리 대신 직접 짠 디코더를 실행하는 화면을 보고 위험하다고 말할 사람은 많지 않다.

옮길 자리의 조건은 발표문에 다 적혀 있다. 컨테이너나 VM 안에서 돌리고, 나가는 네트워크를 좁히고, 홈 디렉터리와 SSH 키와 클라우드 자격증명을 에이전트 런타임에 두지 않는다. 우리가 헤드리스 생성을 전용 머신 한 대에 몰아 둔 이유도 같다. 다만 그 머신에서 사이트 레포와 발행 토큰이 함께 산다는 건 다시 볼 일이다.

숫자를 사면 안심이 오고 격리를 사면 비용이 온다. 이번 건은 0.00%가 무엇을 안 재는지 보여 줬다.