Claude Code Opus 5 Auto Mode, 80% 공격 성공률로 코드 실행 달성
Breaking Claude Code Opus 5 Auto Mode
Anthropic이 의뢰한 평가에서 Opus 5 Auto Mode의 프롬프트 인젝션 공격 성공률이 0.00%로 나타났지만, 실제로는 간단한 웹사이트 요약 요청으로 코드 실행을 달성할 수 있습니다. 공격 체인은 WebFetch를 curl로 유도하고, 악성 ZIP 아카이브를 다운로드하게 하여 Python 모듈 섀도잉을 통해 임의 코드를 실행합니다. 작은 표본 크기에서 60-80%의 성공률을 보였으며, Auto Mode가 정리 명령을 차단하는 등 안전 메커니즘의 한계도 드러났습니다.
공격은 모델에게 무엇을 하라고 지시하지 않습니다. 공격은 단지 목표를 달성하기 위해 악성 경로가 유일한 선택지가 되도록 만듭니다.
HN 토론
101- andai
>하지만 그 디코더는 공격자가 제어하는 디렉토리(압축 해제된 아카이브) 안에서 실행됩니다.
>거기에 악성 struct.py가 Python의 표준 구현을 가립니다.
저도 이 문제를 직접 겪어봤는데, 제가 임의의 이름을 붙인 어떤 파일이 Python 표준 라이브러리 모듈을 가려서 아주 이상한 시작 충돌이 발생했습니다.
제 생각에는 이것이 설계된 방식이 아닌 것 같습니다. 보이는 모든 것을 자동으로 조용히 가져와서 기본 기능을 덮어쓰는 것은 정말 이상합니다.
- rcxdude
저는 이것을 프롬프트 인젝션 공격이라고 부르고 싶지 않습니다. 에이전트를 악의적으로 변조하는 것이 아니기 때문입니다(기사에서 나중에 다루는 내용). 이것은 오히려 클로드를 특별히 속이기 위해 설계된 트로이 목마에 가깝습니다.
- colinmarc
제가 흥미롭게 생각하는 점은 이것이 클로드의 특정한 버릇을 겨냥한다는 것입니다. Anthropic은 같은 도구를 반복적으로 사용하는 모델을 만들었습니다(네, 그리고 특정 표현도요; `python -c`는 그 모델에게 중요한 도구입니다). 모든 사람이 같은 모델을 사용하기 때문에, 모델의 행동 패턴을 학습하면 더 잘 겨냥할 수 있습니다.
- kstenerud
제 에이전트를 샌드박스에서 실행하는 많은 이유 중 하나입니다(그리고 제가 에이전트 샌드박싱 소프트웨어를 만든 이유이기도 합니다).
한 번은 제 클로드 에이전트가 네트워크가 다운되어 https://some-weird-domain.com에 연결할 수 없다고 불평하는 것을 발견했습니다(네트워크가 필요하지 않을 때는 샌드박스에서 네트워크를 비활성화하고 API 연결을 중개합니다). 왜 거기를 보고 있었는지 물어보니 제가 그렇게 하라고 했다고 말하더군요.
프롬프트 인젝션의 증거는 찾지 못했지만, 확실히 의심스러워졌습니다.
- comboy
흥미로운 공격이고, 매우 잘 설계되었습니다. 자동 모드 자체와는 크게 관련이 있는지 잘 모르겠습니다.
- hahn-kev
Python 개발자가 아닌 저에게는 시스템 라이브러리가 같은 폴더에 특정 이름의 파일이 있다는 이유만으로 수정된다는 것이 매우 놀라운 동작으로 보입니다.
- alkonaut
샌드박싱의 문제는 일반적인 개발 환경(거대한 IDE, 복제된 거대 저장소, 설치된 의존성 등)이 쉽게 샌드박싱되지 않는다는 것입니다. 클로드 CLI를 실행하기 위해 '두 번째 머신'이나 '격리된 환경'을 설정할 수 없습니다. 적어도 VM, 물리적 하드웨어, 컨테이너 등의 의미에서는요. 도구/디렉토리 허용 목록에 대한 모범 사례가 무엇인지 잘 모르겠지만, 지금까지 유일하게 유용한 모드는 '모든 것을 허용하고 점심 먹으러 가기'였습니다. 그리고 그것이 올바른 방법인 것 같지는 않지만, 어쨌든 우리는 그렇게 하고 있습니다.
- Phemist
이 기본 자동 모드와 오해를 불러일으키는 마케팅은 피해가 누적되면 집단 소송을 부르고 있습니다. 특히 자동 모드가 정리 작업을 적극적으로 방해할 수 있다는 점을 고려하면 더욱 그렇습니다!