AI 개발자 노리는 깃허브 위장 공격! ClickFix 트로이목마 대응
 |
| 본 이미지는 AI로 제작한 이미지입니다. |
깃허브 위장 리포지토리와 ClickFix 트로이목마 완벽 대응법
최근 인공지능(AI) 기술의 발전으로 오픈소스 AI 에이전트, MCP 서버, 코드 자동화 플러그인을 활용하는 개발자가 급증하고 있습니다. 하지만 AI가 제공하는 압도적인 생산성의 그늘 아래, 개발자들의 보안 허점을 정밀하게 노리는 초유의 사이버 공급망 공격이 대대적으로 포착되어 비상이 걸렸습니다.
최근 깃허브(GitHub) 상에 유명 AI 오픈소스 도구나 최신 AI 클라이언트 프로그램으로 위장한 악성 리포지토리를 7,000개 이상 무더기로 유포한 뒤, 이를 다운로드하거나 가이드를 따라 설치한 개발자의 컴퓨터에서 핵심 자격 증명과 API 키를 탈취하는 신종 인포스틸러(Infostealer) 공급망 공격이 적발되었습니다.
이번 공격은 서비스형 악성코드(MaaS) 형태로 유통되는 최신 인포스틸러(StealC, MacSync, Vidar 등)와 함께, 사용자가 직접 악성 터미널 명령어를 실행하도록 유도하는 'ClickFix(클릭픽스)' 수법이 교묘하게 결합되어 더욱 치명적입니다. 심지어 개발자가 사용하는 AI 코딩 에이전트마저 속이는 '에이전트 베이팅(AgentBaiting)' 수법까지 동원되고 있습니다.
오늘 포스팅에서는 AI 개발 생태계를 위협하는 신종 깃허브 위장 공급망 공격의 메커니즘부터 AI 에이전트마저 낚이는 최신 공격 양상, 그리고 소중한 API 키와 클라우드 자산을 지키는 실전 보안 대응책을 상세히 알아봅니다.
1. AI 오픈소스 위장과 깃허브 공급망 공격의 실체
과거의 사이버 공격이 불특정 다수를 향한 피싱 메일이나 단순 악성 파일 유포 형태였다면, 이번에 적발된 공급망 공격은 'AI 관련 도구를 찾는 개발자와 데이터 사이언티스트'를 정밀하게 표적으로 삼았습니다.
공격자들은 Anthropic의 Claude Code, OpenAI의 최신 AI 도구, 혹은 인기 있는 MCP 서버의 이름과 설명을 완벽히 복제한 일명 'FakeGit' 위장 리포지토리를 깃허브에 대량 생성했습니다.
- 완벽하게 복제된 README와 브랜딩: 공격자들은 검증된 인기 오픈소스 프로젝트의 설명서(README)와 문서, 라이선스 파일까지 똑같이 복사하여 깃허브 상단 검색 결과나 구글 검색 광고(Malvertising)에 노출시켰습니다.
- MaaS(Malware-as-a-Service) 인포스틸러 탑재: 리포지토리 내부의 다운로드 링크나 설치 스크립트에는 대화형 악성코드 플랫폼을 통해 유포되는 SmartLoader, StealC, MacSync 등의 최신 인포스틸러 악성코드가 숨겨져 있었습니다.
- 검색 엔진 및 플랫폼 신뢰도 악용: 개발자들이 깃허브라는 플랫폼을 기본적으로 신뢰하며, 최신 AI 도구를 빠르게 테스트해 보려는 성향을 역으로 악용한 것입니다.
개발자가 아무런 의심 없이 해당 위장 프로젝트의 설치 파일을 받아 실행하거나 스크립트를 작동시키는 순간, 단 몇 초 만에 개발 단말의 주도권이 해커에게 넘어가게 됩니다.
2. 'ClickFix'와 '에이전트 베이팅(AgentBaiting)': 개발자 낚는 수법
이번 공급망 공격이 기존 해킹과 차별화되는 가장 큰 특징은 'ClickFix(클릭픽스)' 기술과 '에이전트 베이팅(AgentBaiting)'이라는 지능형 사회공학적 기법이 결합되었다는 점입니다.
1️⃣ 터미널 명령어 복붙을 유도하는 'ClickFix' 기법
개발자는 프로그램을 빨리 가동하려는 마음에 안내된 원라이너(One-liner) 명령어를 복사해 터미널에 실행하게 되는데, 이 명령어가 실행되는 순간 백그라운드에서 암호화된 악성 Lua 스크립트나 mshta 프로세스가 가동되어 인포스틸러가 몰래 설치됩니다.
2️⃣ AI 코딩 에이전트까지 속이는 '에이전트 베이팅(AgentBaiting)'
AI 에이전트가 인터넷이나 깃허브 레지스트리를 탐색하여 필요한 MCP 서버나 스킬을 검색할 때, 공격자가 작성한 위장 README의 가짜 설치 명령어를 진짜 정상 문서로 착각하고 분석 결과로 개발자에게 제시합니다. 개발자는 AI 에이전트의 추천을 신뢰하여 해당 명령어를 실행했다가 감염되는 악순환이 발생합니다.
3. 탈취되는 핵심 자산: API 키, AWS 자격 증명, SSH 키의 유출 파국
개발자의 PC가 인포스틸러 악성코드에 감염되었을 때 발생하는 피해는 일반 개인용 PC 감염과는 차원이 다릅니다. 개발자의 단말기 내부에는 사내 서비스와 클라우드 인프라에 접근할 수 있는 최상위 권한의 핵심 데이터들이 저장되어 있기 때문입니다.
이번 공격에 사용된 MacSync, StealC 등의 인포스틸러는 감염 즉시 개발 단말의 다음 핵심 자산들을 정밀 스캐닝하여 외부 C2 서버로 탈취합니다.
- AI 모델 API 키 유출:
~/.bashrc,~/.zshrc및 환경 변수에 저장된 OpenAI, Anthropic, Google Gemini 등의 유료 API 키가 탈취되어 해커들의 무단 연산에 악용되거나 차암시장에서 거래됩니다.
- 클라우드 및 서버 접근 자격 증명: AWS 자격 증명 파일(
~/.aws/credentials), 쿠버네티스 설정(~/.kube/config), SSH 개인 키(~/.ssh/id_rsa)가 유출되어 사내 전사 인프라에 대한 무단 침입으로 이어집니다.
- 웹 브라우저 및 개발 도구 데이터: 브라우저에 저장된 세션 쿠키, 로그인 Passwords, GitHub OAuth 토큰, 개인 암호화 화폐 지갑 데이터가 통째로 탈취됩니다.
단 한 명의 개발자가 무심코 가짜 AI 리포지토리의 명령어를 실행한 결과가 기업 전체 서비스의 셧다운과 대규모 데이터 유출 사고라는 대참사로 이어지게 되는 것입니다.
4. AI 개발 생태계를 지키는 4단계 실전 보안 예방 수칙
오픈소스 AI 에이전트와 MCP 서버의 사용이 일상화된 2026년 현재, 이러한 신종 공급망 공격으로부터 개발 환경을 안전하게 보호하기 위해 반드시 실천해야 할 4단계 보안 가이드라인입니다.
- 1단계: 깃허브 리포지토리 정밀 검증 (교차 검증)다운로드하기 전 리포지토리의 생성일, 커밋(Commit) 이력, 기여 자(Contributor) 수, 스타(Star) 수 및 포크(Fork) 수를 반드시 확인하세요. 공식 조직(Organization) 계정에서 관리하는 프로젝트인지, 단순 생성된 계정인지 파악하는 것이 중요합니다.
- 2단계: 터미널 명령어 무지성 복사·붙여넣기(ClickFix) 절대 금지웹 페이지나 깃허브 README에서 제시하는 "이 명령어를 터미널에 붙여넣으세요" 방식의 명령어는 실행 전 인코딩된 문자열(Base64 등)이나 외부 스크립트 다운로드 주소(
curl | sh,iwr | iex)가 포함되어 있지 않은지 원본 코드를 정밀 검토해야 합니다.
- 3단계: AI 에이전트의 추천 결과에 대한 '인간 검수(Human-in-the-Loop)
AI 코딩 에이전트가 외부 MCP 서버나 스킬 리포지토리를 추천하더라도, 제시된 라이브러리와 공식 URL이 실제 가동되는 검증된 프로젝트인지 사람이 최종 확인 후 설치를 승인해야 합니다.
- 4단계: 격리된 샌드박스(Docker) 환경 활용 및 환경 변수 분리
검증되지 않은 신규 AI 오픈소스 도구를 테스트할 때는 메인 OS가 아닌 격리된 컨테이너(Docker)나 가상 머신(VM) 환경에서 먼저 구동하세요. 또한 중요한 API 키와 AWS 자격 증명은 하드코딩하지 않고 정밀한 접근 제어(IAM)와 암호화 저장소를 활용해야 합니다.
AI 생산성보다 선행되어야 할 사이버 위생
오픈소스 AI 에이전트와 MCP 기술은 개발 생산성을 폭발적으로 끌어올려 주었지만, 역설적으로 해커들에게 가장 매력적이고 취약한 공격 표면(Attack Surface)을 제공했습니다.
거대 빅테크 기업의 도구를 위장한 깃허브 가짜 리포지토리와 터미널 실행을 유도하는 ClickFix 기법은 앞으로 더욱 교묘해질 것입니다. 무조건적인 빠른 도입보다는, 출처를 꼼꼼히 확인하고 샌드박스 환경에서 검증하는 단단한 사이버 위생 습관을 정착시키는 것이 나의 소중한 개발 자산과 사내 시스템을 안전하게 지키는 최고의 방어선입니다.
댓글
댓글 쓰기