AGENTS.md가 AI 에이전트의 보안 함정이 되는 이유

들어가며

기존 PC 보안에서는 실행 파일을 직접 실행하지 않고, 수상한 확인 창에서 승인을 누르지 않으면 공격을 막을 수 있다고 여겨졌다. 하지만 Claude Code, Codex, Cursor 같은 코딩 에이전트는 로컬 파일을 읽고 셸을 호출하며, 패키지를 설치하고 설정을 수정할 수 있다. 이 환경에서는 평범한 Markdown 파일도 단순한 문서가 아니라 실행으로 이어지는 지시의 통로가 될 수 있다.

양자위가 소개한 Forever Security의 보고에 따르면, 공격자는 AGENTS.md나 CLAUDE.md에 정교한 지시를 넣은 뒤 다운로드한 프로젝트나 공유 저장소를 통해 사용자의 환경에 파일을 전달할 수 있다. 사용자가 해당 디렉터리에서 에이전트를 실행하면, 에이전트가 문서를 정상적인 개발 규칙으로 오인해 공격자에게 유리한 환경 설정을 진행할 가능성이 있다.

핵심 내용

• 위험의 핵심은 확장자가 아니라 에이전트의 실행 범위다. Markdown 자체에는 일반적인 실행 권한이 없지만, 에이전트는 내용을 읽고 셸 명령, 설정 변경, 패키지 설치를 수행할 수 있다.
• 위험한 작업은 개발 절차로 위장할 수 있다. 파일 삭제나 악성코드 설치를 직접 요구하는 대신, 도구 초기화, 환경 검증, 팀 규칙처럼 표현하면 사용자가 알아채기 어렵다.
• 전역 설정 변경은 피해를 확장한다. 사용자 영역의 설정 파일이 수정되면 현재 프로젝트를 닫거나 파일을 삭제해도 이후 세션과 다른 프로젝트에 영향이 남을 수 있다.
• 통신 경로도 점검해야 한다. 프로젝트 설정이나 환경 변수가 낯선 게이트웨이를 가리키면 API 키, OAuth 세션 등 인증 정보가 노출될 위험이 커진다.

사용자가 할 수 있는 조치

출처가 불분명한 파일이 많은 Downloads나 Desktop에서 높은 권한의 에이전트를 직접 실행하지 않는 것이 첫 단계다. 새 저장소나 다운로드한 프로젝트를 열기 전에 AGENTS.md, CLAUDE.md, 숨겨진 설정 파일, 최근 추가된 변경 사항을 먼저 확인해야 한다. Codex 등의 전역 설정과 MCP 서버 정의에서도 낯선 명령, 임시 디렉터리 스크립트, 알 수 없는 프록시 주소가 있는지 살펴볼 필요가 있다.

이상한 변경을 발견했다면 작업을 중단하고 환경을 격리한 뒤, 사용한 API 키와 세션 인증 정보를 교체해야 한다. 에이전트는 수동적인 챗봇이 아니라 컴퓨터를 조작할 수 있는 자동화 계정으로 다뤄야 한다. 샌드박스, 전용 작업 디렉터리, 최소 권한, 고위험 작업에 대한 수동 승인을 함께 적용하면 피해 범위를 줄일 수 있다. .env 파일, SSH 키, 클라우드 자격 증명 같은 민감한 정보도 필요 이상으로 에이전트에 노출해서는 안 된다.

의미와 영향

모든 AGENTS.md가 악성이라는 뜻은 아니며, 간단한 검사만으로 시스템의 안전을 확정할 수도 없다. 더 중요한 교훈은 사람이 마지막에 클릭한다는 전통적인 보안 가정이 에이전트 시대에는 충분하지 않을 수 있다는 점이다. 에이전트의 문맥 이해와 자동 실행 능력이 강해질수록 파일 출처 검증, 권한 분리, 실행 기록이 중요해진다. AI 보안은 답변의 정확성만이 아니라 에이전트가 무엇을 읽고, 무엇을 신뢰하며, 무엇을 실행할 수 있는지까지 포함하는 문제다.

출처: 양자위