[AI는 지금] 코드 짜주던 AI가 해킹 도구로…가짜 패키지 악용한 '할루스쿼팅' 비상

생성형 인공지능(AI)의 환각 현상을 악용해 코딩 에이전트에 악성코드를 설치하는 새로운 공격 기법이 공개됐다. AI가 존재하지 않는 저장소나 패키지 이름을 만들어내는 특성을 노려 악성 명령을 실행시키는 방식으로, AI 에이전트 확산과 함께 소프트웨어 공급망 보안에도 새로운 변수가 될 것으로 보인다. 13일 보안 전문매체 시큐리티위크에 따르면 텔아비브대와 이스라엘공과대학(테크니온), 인튜이트 공동 연구진은 AI 환각을 활용한 공격 기법인 '할루스쿼팅(HalluSquatting)'을 최근 발표했다. 할루스쿼팅은 AI가 저장소 복제나 스킬 설치 요청을 받을 때 실제 존재하지 않는 이름을 생성하는 특성을 이용한다. 공격자는 AI가 반복적으로 만들어내는 가짜 저장소와 패키지 이름을 미리 등록한 뒤 내부에 악성 명령을 심어둔다. 이후 사용자가 커서(Cursor), 윈드서프(Windsurf), 깃허브 코파일럿(GitHub Copilot), 클라인(Cline), 제미나이 CLI(Gemini CLI), 오픈클로(OpenClaw) 같은 AI 코딩 도구에 저장소 복제나 스킬 설치를 요청하면 AI가 해당 이름을 실제 자원으로 인식해 내려받을 수 있다. 또 내장 터미널이 자동으로 명령을 실행하면 악성코드 설치나 해킹 도구 실행, 원격 코드 실행(RCE)으로 이어질 가능성이 있다. 연구진 실험에선 저장소 복제 요청의 환각 발생률이 최대 85%에 달했다. 스킬 설치 요청에선 100%까지 나타났다. 또 동일한 가짜 이름이 여러 파운데이션 모델에서 반복적으로 생성돼 특정 모델이 아닌 다양한 AI 서비스에서 공격이 재현될 가능성도 확인됐다. 이번 연구는 AI 환각이 잘못된 정보 생성에 그치지 않고 실제 시스템 침해로 이어질 수 있다는 점에서 주목된다. 지금까지 AI 보안 위협은 이메일이나 코드 주석 등에 숨겨진 명령으로 AI를 속이는 프롬프트 인젝션이 중심이었다. 반면 할루스쿼팅은 공격자가 피해자에게 직접 접근하지 않아도 AI가 스스로 만들어낸 가짜 정보를 공격 경로로 활용한다는 차이가 있다. 이는 AI 업계에도 적지 않은 영향을 미칠 전망이다. 최근 코딩 에이전트는 코드 생성뿐 아니라 저장소 복제, 패키지 설치, 터미널 명령 실행까지 수행하는 방향으로 발전하고 있다. 생산성을 높이는 핵심 기능이 공격자에겐 시스템 권한을 확보하는 통로가 될 수 있다는 점이 확인되면서 AI 제품 경쟁도 정확도보다 실행 안전성과 권한 통제로 무게 중심이 이동할 가능성이 커졌다. 이에 따라 기업들의 AI 도입 전략에도 변화가 예상된다. AI가 추천한 저장소와 패키지를 그대로 실행하기보다 출처와 소유권, 코드 서명 여부를 검증하는 절차가 기본 기능으로 자리 잡을 가능성이 높아졌다. 또 터미널 실행 권한을 최소화하거나 승인된 저장소만 사용할 수 있도록 제한하는 방식도 확산될 것으로 예상된다. 연구진은 이번 연구 결과를 공개하기에 앞서 관련 업체들에 내용을 전달했다. 실제 공격에 악용될 수 있는 세부 기법은 제외한 채 연구를 발표한 것도 이런 이유에서다. 시큐리티위크는 "연구진은 공격자가 그대로 재사용할 수 있다고 판단한 익스플로잇 세부 내용은 공개하지 않았다"고 말했다.