AI에게 코드를 맡긴 상자에 구멍이 있었습니다 — 앤스로픽 50일, 커서와 오픈AI 7일
AI 뉴스 SVIL 클로드 코드 오픈AI 코덱스 커서 앤스로픽 샌드박스 AI 보안

AI에게 코드를 맡긴 상자에 구멍이 있었습니다 — 앤스로픽 50일, 커서와 오픈AI 7일

SVIL - Singularity Visual Intelligence Lab 19 min read

AI에게 코드를 맡길 때 우리가 믿는 것은 모델의 실력만이 아닙니다. 그 도구가 자기가 만든 코드를 안전한 칸 안에서만 돌린다는 약속을 함께 믿습니다. 그 칸을 샌드박스라고 부릅니다.

그런데 2026년 9월 12일, 텔아비브의 스텔스 스타트업 어콤플리시(Accomplish)가 클로드 코드와 오픈AI 코덱스, 커서의 샌드박스에서 발견한 문제들을 공개했습니다. 발견 자체보다 더 눈길을 끈 것은 고쳐지기까지 걸린 시간이었습니다. 커서와 오픈AI는 약 7일, 앤스로픽은 약 50일이 걸렸습니다.

그리고 이 폭로는 처음이 아닙니다. 7월과 9월에도 다른 연구팀들이 같은 뿌리의 문제를 연달아 공개했습니다. 세 번의 공개를 겹쳐 놓고 보면 하나의 구조가 드러납니다.

어두운 정육면체 윤곽의 한쪽 모서리가 청록빛으로 갈라져 벌어진 모습 — 샌드박스에 뚫린 구멍을 표현한 개념 이미지

AI에게 코드를 맡긴 상자에 구멍이 있었습니다

코딩 에이전트는 사람이 시킨 일을 하려고 스스로 명령을 만들어 실행합니다. 파일을 읽고, 고치고, 테스트를 돌리고, 때로는 외부에서 받아 온 코드를 실행합니다. 이 과정에서 무엇이든 마음대로 실행할 수 있다면 위험합니다.

그래서 도구들은 실행 범위를 제한하는 울타리를 칩니다. 지정한 폴더 밖은 못 읽게 하고, 허용한 명령만 돌리게 하고, 네트워크를 막습니다. 이번에 드러난 문제는 그 울타리를 넘는 방법들이 생각보다 흔하고, 생각보다 오래 열려 있었다는 것입니다.

샌드박스가 무엇이고 왜 코딩 에이전트에 필요한가

샌드박스는 프로그램이 할 수 있는 일의 경계를 운영체제 수준에서 좁혀 놓은 실행 환경입니다. 웹 브라우저가 웹사이트의 코드를 돌릴 때 쓰는 것과 같은 발상입니다. 사이트가 내 문서 폴더를 읽지 못하는 이유가 그것입니다.

코딩 에이전트에 이 장치가 필요한 이유는 조금 다릅니다. 브라우저는 남이 만든 코드를 돌리지만, 코딩 에이전트는 자기가 방금 만든 코드를 돌립니다. 그리고 그 코드의 내용은 사용자가 연 저장소의 내용에 영향을 받습니다.

즉 누군가 악의적으로 꾸며 둔 저장소를 여는 것만으로도 에이전트의 행동이 바뀔 수 있습니다. 샌드박스는 그때 피해를 그 칸 안에 가두는 마지막 방어선입니다.

빈틈 없이 닫힌 어두운 육각기둥의 모든 이음새에서 청록빛이 새어 나오는 모습 — 실행 범위를 가두는 울타리를 표현한 개념 이미지

이번에 새로 나온 사실 - 어콤플리시의 폭로

어콤플리시는 이번 여름 동안 앤스로픽과 오픈AI, 커서에 각각 샌드박스 관련 결함을 조용히 신고했습니다. 그리고 9월 12일, 그 신고들이 어떻게 처리됐는지를 공개했습니다.

회사가 강조한 것은 개별 취약점의 파괴력이 아니었습니다. 이런 종류의 결함이 알려지지 않은 채 일상적으로 쌓이고 있다는 점, 그리고 대응 속도가 업체마다 크게 갈린다는 점이었습니다.

같은 문제를 신고했는데 패치 속도가 갈렸습니다

커서는 7월에 신고받은 건을 약 7일 만에 고쳤습니다. 오픈AI는 두 건을 신고받아 8월 중에 처리했고, 역시 일주일 안팎이 걸렸습니다.

앤스로픽에 신고된 한 건은 약 50일이 걸렸습니다. 같은 성격의 문제인데 대응 시간이 일곱 배 넘게 차이가 난 셈입니다.

여기서 주의할 점이 하나 있습니다. 신고된 결함들의 난도와 파급 범위가 정확히 같다고 단정할 근거는 공개된 자료에 없습니다. 그래서 이 숫자는 업체별 실력 순위가 아니라 처리 편차의 크기를 보여 주는 값으로 읽는 편이 정확합니다.

밝은 청록빛 쐐기가 거대한 어두운 팔면체의 정면 깊숙이 박혀 있는 모습 — 취약점 폭로를 표현한 개념 이미지

50일 동안 서른 번의 업데이트가 지나갔습니다

어콤플리시가 특히 문제 삼은 지점이 이 대목입니다. 50일 사이에 해당 제품은 약 서른 번의 업데이트를 냈습니다. 배포가 멈춰 있었던 것이 아니라, 배포는 계속되는데 그 결함만 계속 남아 있었다는 뜻입니다.

그 기간 동안 취약점은 이론이 아니라 실제로 열려 있는 문이었습니다. 공격자가 먼저 같은 것을 찾았다면 쓸 수 있는 상태였습니다.

창업자들이 던진 질문 - 왜 자기 제품은 못 찾는가

어콤플리시의 최고경영자 아미트 아브너는 공개 인터뷰에서 날카로운 질문을 던졌습니다. 이 프런티어 모델들이 그렇게 뛰어나다면, 왜 자기 제품 안의 치명적 취약점은 찾아내지 못하느냐는 것이었습니다.

최고기술책임자 오르 힐치는 요즘 보안 이야기가 많이 오가지만 그것이 제품을 실제로 만드는 방식에는 잘 반영되지 않는다고 지적했습니다.

이 지적은 뼈아픈 데가 있습니다. AI 업체들은 자사 모델이 코드 취약점을 잘 찾는다고 여러 차례 홍보해 왔기 때문입니다.

길이가 크게 다른 두 개의 청록빛 호가 나란히 굽어 있는 모습 — 업체별 패치 속도 차이를 표현한 개념 이미지

어콤플리시는 어떤 회사인가

어콤플리시는 텔아비브에 있는 스텔스 단계 스타트업입니다. 오르 힐치, 아미트 아브너, 가이 지포리가 창업했습니다.

아직 제품을 공개하지 않은 회사이므로, 이번 공개에 자사 인지도를 높이려는 동기가 섞여 있다는 점은 감안하고 읽는 것이 좋습니다. 다만 그 동기가 있다고 해서 신고된 결함과 패치 지연이라는 사실 자체가 달라지지는 않습니다.

오픈AI만 공식 입장을 냈습니다

보도에 따르면 오픈AI는 연구진에게 감사를 표하고 두 건 모두 8월에 처리했으며 샌드박스를 계속 강화하고 있다는 입장을 밝혔습니다.

앤스로픽과 커서는 기록에 남는 공식 입장을 내지 않았습니다. 패치가 이뤄졌다는 사실과 별개로, 공개 대응의 온도 차가 그대로 드러난 셈입니다.

어두운 사면체 서른 개가 일렬로 늘어서고 맨 끝 하나만 청록빛으로 빛나는 모습 — 서른 번의 업데이트가 지나간 50일을 표현한 개념 이미지

이 폭로가 처음이 아닌 이유 - 7월의 연쇄 공개

여기서 정확히 짚어야 할 부분이 있습니다. 이번 어콤플리시 건을 보도하며 일부 요약 매체가 7월에 공개된 다른 연구의 취약점 번호들을 같은 건인 것처럼 묶어 소개했습니다. 실제로는 별개의 연구팀이 낸 별개의 성과입니다.

7월의 연쇄 공개는 필라 시큐리티(Pillar Security)의 작업이었습니다. 에일론 코헨, 단 리시치킨, 아리엘 포겔이 샌드박스 탈출 주간이라는 이름으로 며칠에 걸쳐 결과를 쏟아 냈습니다.

필라 시큐리티가 찾은 커서의 후크 설정 구멍

필라가 커서에서 찾은 것은 작업 공간 쪽에서 제어할 수 있는 후크 설정이 샌드박스 밖 명령 실행으로 이어지는 문제였습니다. CVE-2026-48124 번호가 붙었고 3.0.0에서 고쳐졌습니다.

같은 버전에서 깃 메타데이터 조작으로 경로 기반 규칙을 우회하는 문제도 함께 막혔습니다. 에이전트가 파이썬 가상환경의 인터프리터를 고쳐 두면 확장이 나중에 그것을 실행해 버리는 문제도 보고됐습니다.

거대한 어두운 구체의 곡면에 청록빛이 번지지만 아래쪽 한 지점만 빛이 닿지 않은 모습 — 자기 제품의 결함을 못 보는 상황을 표현한 개념 이미지

코덱스가 안전하다고 믿었던 명령어 목록

오픈AI 코덱스 명령줄 도구에는 안전하다고 분류한 명령어 목록이 있었습니다. 문제는 그 목록이 명령의 이름만 보고 판단했다는 점입니다.

같은 이름이어도 옵션에 따라 읽기 전용이 아닐 수 있습니다. 실제 호출이 무엇을 하는지 확인하지 않고 이름으로 통과시킨 것이 구멍이었습니다. v0.95.0에서 고쳐졌고 높은 등급의 포상금이 지급됐습니다.

도커 소켓 하나로 세 도구가 함께 뚫렸습니다

필라가 보고한 것 중 가장 넓게 걸친 문제는 도커 소켓이었습니다. 권한을 가진 로컬 데몬에 접근할 수 있으면 샌드박스 바깥에서 코드를 실행할 수 있습니다.

이 문제는 코덱스와 커서, 제미나이 명령줄 도구에 동시에 해당했습니다. 특정 제품의 실수가 아니라 개발 환경의 공통 관행에서 나온 구멍이라는 뜻입니다.

떨어져 떠 있는 세 개의 고리 가운데 하나만 청록빛으로 빛나는 모습 — 한 곳만 공식 입장을 낸 상황을 표현한 개념 이미지

구글 안티그래비티는 심각도가 낮춰졌습니다

구글의 안티그래비티에서는 맥오에스 샌드박스 정책의 차단 목록을 우회하는 문제와 보안 모드를 우회하는 문제가 보고됐습니다.

구글은 이 두 건을 유효한 취약점으로 인정하면서도 악용 난도가 높다고 보아 심각도를 낮춰 분류했습니다. 같은 결함을 두고 발견자와 업체의 평가가 갈린 사례입니다.

9월에 또 나온 깃스폰 - 설정 파일 한 줄의 위력

9월 2일에는 매니폴드 시큐리티(Manifold Security)가 깃스폰(GitSpawn)이라는 이름으로 또 다른 묶음을 공개했습니다. 이번에는 깃 설정 파일이 통로였습니다.

저장소 안의 설정 파일에 특정 항목을 심어 두면, 에이전트가 배경에서 깃 상태를 확인하는 순간 그 값이 명령으로 실행됩니다. 사용자는 저장소를 열었을 뿐인데 코드가 돕니다.

크기가 점점 커지는 청록빛 육각형 다섯 개가 사선으로 늘어서며 점점 밝아지는 모습 — 7월의 연쇄 공개를 표현한 개념 이미지

fsmonitor가 왜 위험한 스위치인가

핵심은 깃의 성능 기능 하나입니다. 바뀐 파일을 빨리 찾으려고 저장소가 지정한 명령을 대신 실행해 주는 설정이 있습니다.

에이전트는 브랜치와 변경 파일을 파악하려고 깃 명령을 수시로 돌립니다. 그때 이 설정을 검증 없이 그대로 읽으면, 사용자 권한으로 임의 코드가 샌드박스 바깥에서 실행됩니다.

후크 경로 설정과 필터 속성도 같은 성질의 통로로 지목됐습니다.

클로드 코드는 절반만 막혔습니다

매니폴드의 공개 시점 기준으로 클로드 코드는 일부만 고쳐진 상태였습니다. 한쪽 경로는 막혔지만 다른 경로가 특정 버전에서 여전히 살아 있다고 보고됐습니다.

관련 번호로 CVE-2026-55607이 붙었습니다. 오픈AI 코덱스는 CVE-2026-19592로, 구스는 CVE-2026-72718로 처리됐습니다.

거대한 어두운 정육면체 정면의 사각 홈에 작은 청록빛 사면체가 단단히 끼워진 모습 — 설정을 통해 파고든 취약점을 표현한 개념 이미지

아직 고치지 않은 도구들이 남아 있습니다

공개 시점 기준으로 여러 도구가 미패치 상태였습니다. 알리바바의 큐원 코드는 7월에 신고를 접수한 뒤 후속 소식이 없었고, 누스 리서치의 헤르메스 에이전트는 여섯 차례 연락에도 분류조차 되지 않았습니다.

구스는 1.44.0에서, 코덱스는 0.131.0에서 각각 처리됐습니다. 같은 뿌리의 문제인데 도구마다 상태가 제각각입니다.

신고를 받고도 닫아 버린 사례

xAI의 그록 빌드는 해당 신고를 중복이라는 사유로 닫았고, 공개 시점까지 수정이 확인되지 않았습니다.

중복 처리 자체가 잘못이라고 단정할 수는 없습니다. 다만 원본 건이 고쳐지지 않은 채 중복으로 닫히면, 신고자 입장에서는 보고 경로가 사실상 막힌 것과 같습니다.

넓은 청록빛 광선이 거대한 어두운 아치를 그대로 통과해 반대편으로 나오는 모습 — 이름만 보고 통과시킨 명령어 검사를 표현한 개념 이미지

공통 구조 - 샌드박스 밖의 도구가 대신 실행한다

세 번의 공개를 겹쳐 놓으면 같은 모양이 보입니다. 에이전트가 직접 울타리를 넘는 경우는 거의 없습니다.

대신 에이전트는 파일을 하나 씁니다. 그리고 울타리 밖에 있는 신뢰받는 도구가 나중에 그 파일을 읽고 스스로 실행합니다. 깃이 그렇고, 파이썬 확장이 그렇고, 도커 데몬이 그렇습니다.

필라의 연구진이 정리한 표현이 정확합니다. 에이전트가 쓴 파일을 샌드박스 밖의 신뢰받는 도구가 나중에 자동으로 실행한다는 것입니다. 방어선은 에이전트에만 쳐져 있고, 그 뒤에 오는 도구들에는 쳐져 있지 않았습니다.

왜 모델이 똑똑해져도 이 구멍은 안 막히나

모델 성능이 올라가도 이 문제는 저절로 사라지지 않습니다. 취약한 것은 모델의 판단이 아니라 도구 사이의 신뢰 관계이기 때문입니다.

모델이 아무리 신중하게 굴어도, 깃이 설정 파일을 믿고 명령을 대신 실행하는 구조가 남아 있으면 결과는 같습니다. 이것은 추론의 문제가 아니라 설계의 문제입니다.

중앙의 청록빛 구체에서 가느다란 선 세 가닥이 각각 어두운 정육면체로 뻗어 있는 모습 — 세 도구에 동시에 걸친 공통 결함을 표현한 개념 이미지

실제 사례 - 남의 저장소를 여는 순간 벌어지는 일

구체적으로 그려 보면 이렇습니다. 오픈소스 프로젝트에 기여하려고 저장소를 받아 옵니다. 코딩 에이전트를 열고 이 프로젝트가 무슨 일을 하는지 물어봅니다.

에이전트는 답을 만들려고 현재 브랜치와 변경된 파일을 확인합니다. 그 순간 저장소에 심어 둔 설정이 깨어나 명령을 실행합니다.

사용자는 아직 아무것도 승인하지 않았습니다. 질문을 하나 던졌을 뿐입니다. 승인 창도 뜨지 않습니다. 이것이 이 계열 취약점이 특히 고약한 이유입니다.

저시력 사용자와 자동화 도구 이용자에게 더 위험한 이유

저시력 사용자에게는 이 문제가 한 겹 더 무겁습니다. 승인 창과 경고 문구는 대개 작은 글씨로, 대비가 낮은 색으로, 화면 구석에 뜹니다. 놓치기 쉽습니다.

게다가 확대 도구나 화면 낭독기를 쓰면 화면 전체를 한눈에 훑기 어렵습니다. 조용히 지나가는 경고는 사실상 없는 경고입니다.

자동화를 많이 쓰는 사람도 마찬가지입니다. 승인 절차를 줄여 둘수록 이런 결함의 사정거리가 넓어집니다. 편의와 위험이 같은 방향으로 움직입니다.

거대한 어두운 사면체의 모서리 두 곳에만 희미한 청록빛이 남아 있는 모습 — 낮춰진 심각도 평가를 표현한 개념 이미지

지금 쓰는 사람이 당장 할 수 있는 것

가장 확실한 것은 도구를 최신 버전으로 올리는 일입니다. 위에 적힌 수정 버전들은 대부분 이미 배포돼 있습니다.

그리고 모르는 저장소를 열 때는 에이전트를 먼저 붙이지 않는 습관이 도움이 됩니다. 사람이 먼저 내용을 한 번 보고, 그다음에 에이전트를 붙이는 순서입니다.

승인 절차를 지나치게 줄여 두었다면 조금 되돌려 놓는 것도 방법입니다. 불편함이 방어선 역할을 합니다.

기업이라면 점검해야 할 것

조직에서 코딩 에이전트를 쓴다면 어떤 도구가 어떤 버전으로 깔려 있는지부터 파악해야 합니다. 미패치 도구가 섞여 있는지가 첫 질문입니다.

개발자 장비에서 권한 있는 로컬 데몬에 에이전트가 접근할 수 있는지도 확인할 지점입니다. 도커 소켓 문제가 그 자리에서 생겼습니다.

외부 저장소를 다루는 작업은 별도 환경에서 하도록 분리해 두면 사고 범위가 줄어듭니다.

아주 가느다란 청록빛 선 한 가닥이 커다란 어두운 오각기둥 내부로 파고드는 모습 — 설정 파일 한 줄로 들어오는 통로를 표현한 개념 이미지

패치 속도를 공개 지표로 만들자는 제안

이번 공개가 남긴 가장 실용적인 제안은 어쩌면 숫자 자체입니다. 7일과 50일이라는 값이 비교 가능한 형태로 나오자 논의가 구체적으로 바뀌었습니다.

업체들이 신고 접수부터 수정 배포까지 걸린 시간을 정기적으로 공개한다면, 사용자는 도구를 고를 때 성능 말고도 볼 것이 하나 더 생깁니다.

지금은 이 값을 외부 연구자가 폭로해야만 알 수 있습니다. 그것이 이번 사건의 진짜 불편한 지점입니다.

핵심 정리

어콤플리시가 클로드 코드와 코덱스, 커서의 샌드박스 결함을 신고했고 수정까지 커서와 오픈AI는 약 7일, 앤스로픽은 약 50일이 걸렸습니다. 그 50일 동안 약 서른 번의 업데이트가 나갔습니다.

이것은 단발 사건이 아닙니다. 7월 필라 시큐리티, 9월 매니폴드 시큐리티의 공개가 같은 구조를 가리킵니다. 에이전트가 쓴 파일을 샌드박스 밖의 신뢰받는 도구가 나중에 실행하는 구조입니다.

모델이 좋아진다고 막히는 문제가 아니고, 사용자가 할 수 있는 가장 확실한 일은 도구를 최신 버전으로 유지하는 것입니다.

거대한 어두운 원환체가 잔상을 남기며 회전하고 테두리에 희미한 청록빛이 따라붙는 모습 — 아직 끝나지 않은 과제를 표현한 개념 이미지

참고하실 만한 것

SVIL 연구소는 AI 소식을 저시력 사용자도 편하게 읽을 수 있도록 큰 글씨와 고대비로 정리해 전하고 있습니다. 블로그와 유튜브 채널에서 매일 새 글과 영상을 보실 수 있습니다.

이 글이 도움이 되셨다면 블로그를 구독해 주세요. 함께 일해 보고 싶은 제안이 있으시면 아래 협업문의로 연락 주시면 됩니다.

출처

협업문의 : kuroicode@gmail.com
블로그 : https://blog.svil.dev/
홈페이지 : https://svil.dev/