The Decoder • 30일 전

클로드 코드, 깃허브 숨은 악성코드 자동 실행해 위험

IMP

9/10

핵심 요약

안보 연구원들은 정상적인 깃허브 저장소에 숨겨진 악성 스크립트가 클로드 코드(Claude Code)를 통해 자동 실행되어 공격자가 시스템 제어권을 얻을 수 있다는 사실을 발견했습니다. 이 악성코드는 런타임에 DNS 항목에서 명령을 불러와 실행되기 때문에 기존 보안 검사나 코드 리뷰를 우회할 수 있어 실무자들에게 매우 치명적입니다. 따라서 개발자들은 제3자 저장소의 설정 스크립트를 철저히 검증 없이는 실행해서는 안 됩니다.

번역된 본문

클로드 코드(Claude Code)가 검증 없이 깃허브 저장소의 숨겨진 악성코드를 실행하여 공격자에게 시스템 제어권을 넘겨줍니다.

마티아스 바스티안(Matthias Bastian) 마티아스 바스티안의 링크드인 프로필 보기 2026년 6월 29일

모질라의 생성형 AI(GenAI) 버그 바운티 플랫폼인 0DIN의 보안 연구원들은 개발자의 컴퓨터를 표적으로 삼는 새로운 공격 벡터를 발견했습니다. 평범해 보이는 깃허브 저장소를 통해 누군가 클로드 코드와 같은 AI 코딩 도구를 사용하는 즉시, 공격자는 간접적인 프롬프트 삽입(Indirect prompt injection)을 통해 시스템을 완전히 제어할 수 있습니다. 저장소 내의 설정 스크립트는 런타임에 DNS 항목에서 명령을 불러와 실행합니다. 악성 코드는 저장소 자체에 존재하지 않으므로 스캐너, 코드 리뷰 및 AI 에이전트(AI agent)에서 보이지 않습니다.

클로드 코드는 설정 중 루틴 오류 메시지가 나타나면 자동으로 스크립트를 실행하고 공격자에게 리버스 셸(Reverse shell)을 엽니다. 여기서 공격자는 API 키와 로그인 자격 증명을 탈취하고 지속적인 접근 권한을 유지할 수 있습니다. 채용 공고, 튜토리얼 또는 슬랙(Slack) 메시지에 있는 단 하나의 저장소 링크만으로도 AI 코딩 도구로 이를 여는 사람의 시스템을 감염시키기에 충분합니다.

연구원들에 따르면 해결책은 다음과 같습니다: AI 에이전트는 설정 스크립트를 실행하기 전에 그 내용을 먼저 보여주어야 합니다. 그리고 개발자는 제3자 저장소의 설정 지침을 신뢰할 수 없는 코드(Untrusted code)로 취급해야 합니다.

원문 보기

원문 보기 (영어)

Claude Code runs a GitHub repo's hidden malware without verification, giving attackers full control Matthias Bastian View the LinkedIn Profile of Matthias Bastian Jun 29, 2026 Security researchers at 0DIN, Mozilla's GenAI bug bounty platform, found a new attack vector targeting developers' machines. Through a normal-looking GitHub repository, attackers can gain full control via indirect prompt injection as soon as someone uses an AI coding tool like Claude Code on it. A setup script in the repo pulls a command from a DNS entry at runtime and executes it. The malicious code never exists in the repository itself, making it invisible to scanners, code reviews, and the AI agent. Claude Code hits a routine error message during setup, automatically runs the script, and opens a reverse shell to the attacker. From there, the attacker can grab API keys and login credentials and maintain persistent access. One repo link in a job posting, tutorial, or Slack message is enough to compromise anyone who opens it with an AI coding tool. The fix, according to the researchers: AI agents should show what's in a setup script before running it. And developers should treat setup instructions in third-party repos as untrusted code. Ad DEC_D_Incontent-1 Ad AI News Without the Hype – Curated by Humans Subscribe to THE DECODER for ad-free reading, a weekly AI newsletter, our exclusive "AI Radar" frontier report six times a year, full archive access, and access to our comment section. Subscribe now Source: 0din Ask about this article… Search

AI 코딩 도구 보안 취약점 깃허브 프롬프트 삽입 맬웨어