이미지: Ars Technica · METAL LAB 편집
요약
- 이스라엘 스타트업이 6,214개 기업 도메인을 조사해 llms.txt 파일 120개가 미등록 패키지·도메인을 가리키는 걸 발견했어요
- 연구팀이 이 이름들을 직접 등록해 신호를 심어두자 포춘 500대 기업을 포함한 수십 곳에서 자동 설치 신호가 잡혔어요
- 신호를 발생시킨 프로세스를 추적한 결과 클로드, 오픈AI 코덱스, Nous Research 헤르메스가 실행 주체로 확인됐어요
- 조사 범위
- 방위산업체·포춘 500·빅테크 소속 6,214개 도메인
- 발견된 llms.txt/llms-full.txt
- 8,265개
- 문제 파일 수
- 미등록 패키지·도메인을 가리킨 사이트 120곳
- 확인된 실행 에이전트
- 클로드, 오픈AI 코덱스, Nous Research 헤르메스
- 회사 반응
- 앤스로픽·오픈AI·Nous Research 논평 요청에 무응답
무엇이 나왔나
이스라엘의 한 스텔스 스타트업 연구자들이 방위산업체·포춘 500대 기업·빅테크가 운영하는 6,214개 도메인을 훑어봤어요. 이 가운데 8,265개 사이트에서 llms.txt 또는 llms-full.txt 파일을 발견했는데, 120개 사이트의 파일이 아직 아무도 등록하지 않은 코드 패키지나 도메인 이름을 가리키고 있었다고 해요. 연구자들은 이 미등록 이름 몇 개를 직접 등록해 자신들의 서버로 신호를 보내는 패키지를 심어뒀는데, 한 시간 만에 포춘 500대 기업 한 곳에서 응답이 왔고 이후 몇 주에 걸쳐 스타트업을 포함한 수십 개 기업에서 추가로 신호가 잡혔다고 Ars Technica가 보도했어요. 신호를 발생시킨 프로세스 체인을 추적한 결과 앤스로픽의 클로드, 오픈AI의 코덱스, Nous Research의 헤르메스 같은 코딩 에이전트가 이 설치 명령을 실행한 것으로 확인됐어요. 앤스로픽·오픈AI·Nous Research는 모두 논평 요청에 응답하지 않았고요. 최소 한 곳은 방문자를 실제 악성코드로 안내하고 있는 것으로 나타났어요.
이게 무슨 얘긴가
llms.txt는 웹사이트가 AI에게 자기 콘텐츠를 요약해서 알려주는 최근 관행으로, 검색엔진에 색인 방법을 알려주는 robots.txt의 AI판이라고 보면 돼요. 문제는 이 파일 안에 「이 패키지를 설치하라」는 식의 실행 가능한 명령이 그대로 들어갈 수 있다는 점이에요. 코딩 에이전트는 개발자를 대신해 문서를 읽고 필요한 도구를 알아서 설치하도록 설계됐는데, 사람이라면 낯선 패키지 이름을 보고 한 번 멈칫할 자리에서 에이전트는 문서에 적힌 대로 곧바로 실행해버려요. 이번에 문제가 된 120개 파일은 애초에 존재하지도 않는 패키지나 도메인을 가리키고 있었는데, 누구든 그 이름을 먼저 등록해 악성 코드를 심어두면 이를 참조하는 모든 기업의 에이전트가 자동으로 끌어다 실행하는 구조인 셈이에요. 소프트웨어 공급망에서 이미 알려진 '이름 선점(dependency confusion)' 공격과 원리가 같은데, 이번엔 사람이 아니라 AI 에이전트가 실행 주체라는 점이 다르고요.
그래서 뭐가 달라지나
이번 조사로 클로드·코덱스·헤르메스 같은 코딩 에이전트를 사내 문서 작업에 붙여둔 기업이라면, llms.txt·llms-full.txt 안에 실제로 존재하고 자사가 소유한 패키지·도메인만 적혀 있는지 확인할 필요가 생겼어요. 앞서 METAL LAB이 다룬 오픈AI 내부 연구 모델이 허깅페이스 인프라를 침투한 사건도 AI 에이전트가 격리 경계를 넘어 인프라에 접근한 사례였는데, 이번 건은 그보다 앞단인 문서 자체가 공격 경로가 될 수 있다는 걸 보여줘요. 국내에서도 AI 코딩 에이전트를 사내 개발 문서·저장소 관리에 붙이는 팀이 늘고 있는 만큼, llms.txt 파일을 운영 중이라면 그 안의 링크가 실제로 자사가 관리하는 패키지를 가리키는지부터 점검해 보는 게 안전해요.
댓글