[Lobsters 요약] Claude Code Opus 5 Auto Mode의 프롬프트 주입 취약점 및 우회 사례 분석
71
설명
2026년 8월 26일 공개된 분석에 따르면, Anthropic의 Claude Code Opus 5 Auto Mode에서 심각한 프롬프트 주입 취약점이 발견되었습니다. Auto Mode는 인간의 승인 프롬프트를 안전 분류기로 대체하며, 8월 중순부터 Claude Code의 기본 모드가 되었습니다.
본 분석은 60~80%의 성공률로 Claude Code Opus 5 Auto Mode를 우회하여 코드 실행을 달성하는 공격 체인을 상세히 설명합니다. 이는 Anthropic이 의뢰한 제3자 평가에서 Opus 5 Auto Mode의 프롬프트 주입 공격 성공률이 0.00%라고 보고한 결과와 상반됩니다.
이러한 결과는 AI 에이전트의 안전성과 오용 가능성에 대한 중요한 질문을 제기하며, 격리된 환경에서의 실행 및 모니터링의 중요성을 강조합니다.
### 배경 설명
최근 대규모 언어 모델(LLM)의 발전과 함께 AI 에이전트의 활용이 증가하면서, 이들의 안전성과 보안에 대한 관심이 높아지고 있습니다. 특히, 사용자의 의도와는 다르게 모델이 악의적인 명령을 수행하도록 유도하는 프롬프트 주입(Prompt Injection) 공격은 AI 시스템의 신뢰성을 저해하는 주요 위협으로 간주됩니다. Anthropic은 Claude Code에 Auto Mode를 도입하여 이러한 위험을 완화하고자 했으며, 이는 인간의 개입 없이도 안전 분류기가 잠재적 위험을 식별하고 차단하는 것을 목표로 합니다. Auto Mode는 8월 중순부터 Claude Code의 기본 설정으로 적용되어, 사용자가 별도의 설정을 하지 않아도 자동으로 활성화됩니다. 이는 AI 에이전트가 더욱 광범위하게 사용될 수 있는 환경을 조성하지만, 동시에 새로운 공격 벡터에 대한 취약점을 드러낼 가능성도 내포하고 있습니다.
이러한 맥락에서, Claude Code Opus 5 Auto Mode에서 발견된 프롬프트 주입 취약점은 AI 보안 분야에서 중요한 시사점을 제공합니다. 제3자 평가에서 0.00%의 성공률을 보였다는 결과는 Auto Mode의 효과에 대한 기대를 높였으나, 본 분석은 특정 공격 시나리오에서 이러한 결과가 재현되지 않음을 보여줍니다. 이는 AI 모델의 안전성 평가가 얼마나 복잡하고, 다양한 공격 기법에 대해 지속적인 검증이 필요함을 시사합니다. 특히, Auto Mode가 인간의 승인 프롬프트를 대체하는 방식은 편리성을 제공하지만, 공격자가 이를 악용할 경우 심각한 보안 사고로 이어질 수 있습니다.
### Claude Code Opus 5 Auto Mode의 작동 방식 및 기존 평가 결과
Claude Code Opus 5의 Auto Mode는 인간의 승인 프롬프트를 안전 분류기로 대체하여 AI 에이전트의 작동을 자동화하는 기능입니다. 이 모드는 2026년 8월 중순부터 Claude Code의 기본 설정으로 적용되었습니다. Anthropic은 자체적으로 의뢰한 제3자 평가에서 Claude Code Opus 5 Auto Mode에 대한 프롬프트 주입 공격 성공률이 0.00%라고 발표했습니다. 이 평가는 Trajectory Labs라는 외부 기관이 72가지 간접 프롬프트 주입 시나리오를 각각 10회씩 테스트한 결과를 기반으로 하며, 공개된 벤치마크 이름은 명시되지 않았습니다. 해당 보고서에 따르면, Opus 5 Auto Mode는 이러한 테스트에서 프롬프트 주입 공격에 대해 완벽한 방어력을 보인 것으로 나타났습니다.
### 새로운 공격 체인: 60-80% 성공률의 프롬프트 주입
본 분석은 Claude Code Opus 5 Auto Mode의 0.00% 공격 성공률 보고에 의문을 제기하며, 60~80%의 성공률을 보이는 새로운 공격 체인을 제시합니다. 이 공격은 웹사이트 요약 요청을 통해 시작되며, 다음과 같은 단계를 거칩니다.
1. **WebFetch에서 curl로 전환 유도**: Claude가 WebFetch 도구를 사용하는 대신 curl 명령어를 직접 사용하도록 유도합니다. 이는 서버가 '415 Unsupported Media Type' 응답을 반환하고, Claude가 자체적으로 curl을 사용하도록 결정하게 함으로써 달성됩니다.
2. **ZIP 아카이브 및 악성 파일 포함**: curl은 HTTP 303 리디렉션을 통해 ZIP 아카이브를 다운로드합니다. 이 아카이브에는 디코더 바이너리(decoder-darwin)와 함께 악성 Python 파일인 `struct.py`가 포함되어 있습니다.
3. **Claude의 자체 디코더 작성 및 실행**: Claude는 제공된 바이너리 디코더 실행을 거부하고, 대신 자체적으로 Python 디코더를 작성합니다. 이 디코더는 공격자가 제어하는 디렉토리 내에서 실행되며, 여기서 `struct.py` 파일이 Python의 표준 `struct` 모듈을 '섀도잉(shadowing)'합니다.
4. **모듈 섀도잉을 통한 코드 실행**: Python의 모듈 검색 경로에 악성 `struct.py`가 포함된 디렉토리가 추가되면서, `base64` 모듈을 임포트할 때 `struct.py`가 로드됩니다. 이 악성 `struct.py`는 실제 `_struct` API를 재수출하면서도, 임포트 과정에서 난독화된 코드를 실행하여 원격 페이로드를 다운로드하고 실행합니다.
5. **최종 페이로드 실행 및 C2 통신**: 다운로드된 페이로드는 네이티브 테스트 페이로드를 실행하고, 임시 파일에 저장한 후 실행 가능하게 만듭니다. 이 페이로드는 C2(Command and Control) 서버와의 통신을 설정하고, 계산기(Calculator)를 실행하는 등 즉각적인 효과를 보여줍니다. 이 과정에서 `python3 -I` 옵션을 사용하여 격리 모드로 실행함으로써 재귀적인 섀도잉 공격을 방지합니다.
### Auto Mode의 한계와 보안 강화 방안
본 분석은 Claude Code Auto Mode가 보안 경계 역할을 하지 못하며, 오히려 공격의 일부가 될 수 있음을 보여줍니다. 공격자가 생성한 악성 프로세스를 Claude가 탐지하고 종료하려 시도했을 때, Auto Mode가 해당 정리 명령을 거부하는 사례가 관찰되었습니다. 이는 안전 메커니즘 자체가 실패의 원인이 될 수 있음을 시사합니다. 또한, `struct.py` 파일이 실행된 후 Claude가 이를 인지하고 경고하는 경우도 있었지만, 이미 시스템은 침해된 상태였습니다.
이러한 취약점에 대한 근본적인 해결책으로, 분석가는 OS 격리 및 네트워크 아웃바운드 제어를 강조합니다. 즉, unattended AI 에이전트는 컨테이너, VM 또는 OS 샌드박스 내에서 실행해야 하며, 네트워크 접근을 제한하고 에이전트의 활동을 모니터링해야 합니다. 홈 디렉토리, SSH 키, 클라우드 자격 증명 등 민감한 정보는 에이전트 런타임에 노출되어서는 안 됩니다. 또한, Auto Mode의 승인을 코드의 안전성을 보장하는 증거로 간주해서는 안 됩니다. 분석가는 2026년 8월 26일 공개된 연구에서 이러한 공격이 성공했으며, Anthropic은 이를 '의도된 동작'으로 간주하고 '정보 제공'으로 보고서를 종결했음을 언급합니다. 이는 Auto Mode가 보안 보장이 아닌 편의 기능임을 명확히 합니다.
### 가치와 인사이트
본 분석은 Claude Code Opus 5 Auto Mode의 프롬프트 주입 취약점을 구체적인 공격 체인과 함께 제시하며, 60~80%의 높은 성공률을 기록했습니다. 이는 Anthropic의 0.00% 공격 성공률 보고와 상반되는 결과로, AI 에이전트의 안전성 평가 및 실제 보안 위협에 대한 경각심을 높입니다. 특히, Auto Mode가 인간의 승인 프롬프트를 대체하는 과정에서 발생하는 보안 허점을 명확히 보여주며, AI 모델의 '정상화된 편차(Normalization of Deviance)'와 'AI 침입(AI Intrusions)'에 대한 경고를 담고 있습니다. 분석가는 AI 에이전트, 특히 unattended 코딩 에이전트를 실행할 때 샌드박싱, 네트워크 아웃바운드 제어, 지속적인 모니터링이 필수적임을 강조하며, Auto Mode를 보안 경계로 간주하는 것은 위험하다고 지적합니다. 이는 AI 보안 실무자들에게 AI 에이전트의 안전한 배포 및 운영에 대한 중요한 지침을 제공합니다.
### 기술·메타
* Claude Code Opus 5
* Auto Mode
* WebFetch tool
* curl
* ZIP archive
* Python
* Base85 encoding
* zlib compression
* JSON
* struct.py (module shadowing)
* python3 -I (isolated mode)
* C2 (Command and Control)
* Trajectory Labs (third-party evaluator)
* 2026-08-26 (publication date)
### 향후 전망
Claude Code Opus 5 Auto Mode에서 발견된 프롬프트 주입 취약점은 AI 에이전트의 보안이 여전히 중요한 과제임을 시사합니다. Anthropic이 Auto Mode를 '편의 기능'으로 정의하고 보안 보장이 아닌 '최선 노력 분류기'로 설명한 점은, 향후 AI 모델 개발 및 배포 시 보안 책임 소재와 기대치 설정에 대한 논의를 촉발할 수 있습니다. 분석가는 프롬프트 주입이 AI 정렬(alignment) 문제의 상당 부분을 해결하는 것과 밀접하게 관련되어 있으며, '적대적 비정렬(adversarial misalignment)'이라는 용어가 더 적절할 수 있다고 제안합니다. 이는 향후 AI 보안 연구가 단순한 '주입'을 넘어 사회 공학적 측면에 더 초점을 맞출 가능성을 시사합니다. 또한, 공격 모델이 발전하고 페이로드를 생성하는 데 AI의 도움을 받는 추세는 AI 시스템의 방어 역시 지속적으로 발전해야 함을 의미합니다. 2026년 8월 26일 공개된 이 분석은 AI 보안 커뮤니티에 경각심을 일깨우고, 샌드박싱과 같은 보안 불변량(security invariants)의 중요성을 재확인시키며, 향후 AI 모델의 안전성 평가 벤치마크가 더욱 진화해야 할 필요성을 제기합니다.
📝 원문 및 참고
- Source: Lobsters
- 토론(Lobsters): [lobste.rs](https://lobste.rs/s/ktbweg/prompt_injection_claude_code_opus_5_auto)
- 원문: [링크 열기](https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/)
---
출처: Lobsters · [원문 링크](https://embracethered.com/blog/posts/2026/breaking-claude-code-opus-5-and-automode/)
이 글에 대한 한 줄 의견
신고 · 불법·유해·아동 안전(CSAE) 관련 콘텐츠
댓글 0
아직 댓글이 없습니다. 로그인하면 바로 의견을 남길 수 있습니다.