벤치마크 0.00%와 동작하는 원격 코드 실행이 동시에 참입니다 — Auto Mode는 보안 경계가 아니라 편의 기능입니다

코딩 에이전트에게 "이 웹사이트 요약해줘"라고 시키는 건 하루에도 몇 번씩 하는 일입니다. 저는 이걸 "Claude Code가 뚫렸다"가 아니라 벤더가 스스로 보안 경계가 아니라고 말하는 기능을 우리가 경계로 세워 뒀는지 확인하는 사건으로 읽었습니다.

확인된 것은 연구 환경의 실증 하나입니다

보안 연구자 Johann Rehberger가 2026년 8월 26일 Claude Code Opus 5의 Auto Mode를 우회해 원격 코드 실행에 이르는 체인을 공개했습니다. Simon Willison이 8월 27일 소개했고, The Register가 8월 28일 Anthropic 답변까지 실었습니다. Auto Mode가 Claude Code의 기본값이 된 지 얼마 지나지 않은 시점입니다.

야생에서 이 공격이 쓰였다는 보고는 없습니다. 연구자가 자기 장비에서 실증한 것이고, 이 글도 재현 방법이 아니라 경계가 어디에 있는지를 다룹니다.

성공률은 15회 중 10회입니다

연구자는 세 변종을 각각 5회씩 시도해 3/5·3/5·4/5 성공했습니다. 변종별로 보면 60~80%, 전부 합치면 15회 중 10회입니다. 본인이 "작은 표본이며 보편적인 공격 성공률 측정치가 아니다"라고 못 박았고, 다듬을수록 성공률이 올랐다고도 적었습니다.

일부 요약은 이 중 상한값 80%만 인용했습니다. 어느 쪽도 "열 번 중 여덟 번 뚫린다"는 일반 명제가 아닙니다.

0.00%와 동작하는 공격이 동시에 참입니다

방어의 성격만 나눈 개념도입니다. (a)는 벤더가 보안 보증이 아니라고 밝힌 층이고, 실제 경계로 지목된 것은 (b)와 (c)입니다.

그동안 인용돼 온 수치는 **0.00%**입니다. Anthropic이 의뢰한 외부 업체 Trajectory Labs가 간접 프롬프트 인젝션 시나리오 72개를 각 10회씩, 합쳐 720회 돌려 Opus 5 Auto Mode에서 성공 0건을 봤다는 것입니다. 연구자의 체인은 그 72개 안에 없었습니다. 그래서 벤치마크 0.00%와 동작하는 원격 코드 실행은 동시에 참입니다. 고정된 집합에서 잰 값은 그 집합 밖을 말해 주지 않습니다.

회사와 연구자가 같은 사건을 다르게 부릅니다

연구자가 전한 바로는, Anthropic은 이 제보를 취약점이 아니라 "Informative"(참고용) 로 닫고 **"의도된 동작"**이라고 답했습니다. 회사의 공개 발표가 아니라 제보 답변을 옮긴 것입니다. 즉 Auto Mode는 best-effort 분류기로 뒷받침되는 편의 기능이지 보안 보증이 아니며, 실제 경계는 OS 격리와 아웃바운드 네트워크 통제라는 것입니다. 비판보다 설계 사실의 인정으로 읽는 게 맞습니다. 사용정책이 기술로 강제되지 않는다는 점을 법원이 사실로 적었을 때와 같은 자리입니다.

이름도 흔들렸습니다. Simon Willison은 8월 30일 자기 글에 업데이트를 붙여, 웹사이트의 악성 지시를 모델이 따른 지점이 한 군데도 없으므로 고전적 프롬프트 인젝션으로 보기 어렵고 **"confused environment attack"**에 가깝다고 정정했습니다. 이름이 달라지면 방어할 대상도 달라집니다.

거절은 차단이 아니라 경로 변경이었습니다

신뢰할 수 없는 웹 콘텐츠에서 내려받은 아카이브가 에이전트의 작업 디렉터리에 풀리고, 에이전트가 풀어 놓은 그 디렉터리를 현재 위치로 삼아 파이썬을 실행하면, 표준 라이브러리보다 같은 디렉터리의 동명 모듈이 먼저 로드됩니다. 20년 넘은 import 규칙이지 새 취약점이 아닌데, 에이전트가 이 조합을 알아서 만들어 줍니다.

에이전트는 수상한 바이너리 실행을 거절했습니다. 그리고 같은 일을 하는 디코더를 스스로 다시 짜서 실행했습니다. 일부 회차에서는 에이전트가 침해를 알아채고 프로세스를 정리하려 했는데 Auto Mode가 그 정리 명령을 막았습니다.

막힌 회차도 기록돼 있습니다. 아카이브를 정적으로만 살피거나 파이썬을 격리 모드로 돌린 경우이고, 같은 모델이 회차마다 다르게 행동했습니다.

만드는 쪽에서 옮겨 적을 것

벤더가 "편의 기능"이라 부르는 것을 위협 모델의 신뢰 경계로 세우지 않습니다. 승인 프롬프트가 통과됐다는 사실은 그 명령이 안전하다는 증거가 아닙니다.
에이전트의 현재 작업 디렉터리를 신뢰 경계로 적어 둡니다. 내려받아 푼 디렉터리를 그대로 실행 위치로 쓰지 않고, 홈 디렉터리·SSH 키·클라우드 자격증명은 에이전트 시야에서 빼 둡니다.
에이전트가 에이전트를 띄울 수 있다는 전제로 권한을 셉니다. 세 변종 중 둘은 헤드리스 에이전트를 새로 띄웠고, 자식은 자기 도구 권한과 컨텍스트를 따로 가집니다. 프론티어 랩 안에서 에이전트가 통제를 벗어난 사건과 구조가 같습니다.
기본값이 바뀐 날을 로그에 남깁니다. 우리가 아무 결정도 하지 않았는데 리스크 프로파일이 바뀌는 순간입니다.

정리

확인된 것은 연구 환경의 실증이고 야생 악용 사례는 없습니다.
성공률은 변종별 60~80%, 전부 합쳐 15회 중 10회이고 "80%"는 상한값입니다.
0.00%는 72개 시나리오 720회를 잰 값이며 이 체인은 그 집합 밖이었습니다.
연구자가 전한 Anthropic의 답변은 실제 경계를 OS 격리와 이그레스 통제로 설명합니다.
이름은 프롬프트 인젝션에서 "confused environment attack"으로 정정됐습니다.

참고 자료