가짜 AI 스킬 800개가 악성코드를 심었다

보안 업체 아일랜드(Island)가 7월 20일 공개한 조사에서, 깃허브에 약 7,600개의 악성 저장소가 운영돼 왔으며 그중 800개 이상이 AI 스킬이나 MCP 서버로 위장하고 있었다는 사실이 드러났다. 이 저장소들은 공개 AI 레지스트리와 카탈로그에 600회 넘게 등재됐고, 관련 캠페인 전체의 확인된 다운로드는 1,400만 건을 넘어섰다. 연구를 이끈 올렉 자이체프(Oleg Zaytsev)는 이 수법에 에이전트 미끼(AgentBaiting)라는 이름을 붙였다.

무슨 일인가 / 배경

가짜 저장소로 개발자를 낚는 수법 자체는 새롭지 않다. 남의 프로젝트를 복제하고, 그럴듯한 개발자 프로필과 잘 쓰인 설명 문서를 붙이고, 압축 파일에 악성코드를 숨겨 두는 방식은 수년간 반복돼 왔다. 실행되면 로더가 자리를 잡고, 이어서 자격 증명과 로그인 세션을 훔치는 정보 탈취 도구가 설치된다.

달라진 것은 미끼의 얼굴이다. 공격자들은 지메일·왓츠앱 연동부터 데이터브릭스·젠킨스·도커 도구까지, 지금 수요가 몰리는 AI 연동 기능의 이름을 그대로 빌려 왔다. 저장소 생성 시점을 보면 이 AI 위장 물결은 3월부터 불어나 4월에 정점을 찍었고, 그 달에만 AI 관련 저장소가 300개 가까이 만들어졌다. 수요가 폭발하는 곳에 미끼가 놓인다는 원칙이 그대로 반복된 것이다.

핵심 짚어보기 — 속는 대상이 사람에서 에이전트로 바뀌었다

이번 조사에서 가장 무거운 대목은 다운로드 숫자가 아니다. 연구진 테스트에서 클로드 코드(Claude Code), 제미나이(Gemini), 챗GPT(ChatGPT)가 링크를 받지 않은 상태에서 스스로 악성 저장소를 찾아 사용자에게 제시했다.

구조를 보면 왜 그런지 분명해진다. 사용자가 새 기능이 필요하다고 말하면 에이전트가 검색하고, 검색 결과에 오른 저장소의 설명 문서를 정상 문서로 간주하고, 그 안의 설치 절차를 사용자에게 안내한다. 공격자가 쓴 문서가 곧 에이전트의 행동 지침이 되는 셈이다. 사람을 속이도록 설계된 각본이 이제는 사람을 대신해 움직이는 에이전트를 속인다.

특히 위험한 이유는 신뢰가 한 단계 세탁되기 때문이다. 낯선 저장소를 직접 발견했다면 별 개수나 커밋 이력을 의심했을 사람도, 평소 쓰던 에이전트가 추천한 설치 명령은 별 저항 없이 붙여넣는다. 에이전트의 추천은 사용자에게 일종의 보증서처럼 읽힌다.

1인기업 실전 적용 포인트

• 에이전트가 찾아준 저장소는 설치 전 세 가지를 직접 확인하라. 최초 커밋 날짜, 소유자 계정의 다른 저장소, 그리고 릴리스에 압축 파일이 붙어 있는지다. 커밋이 한두 개인데 완성도 높은 설명 문서만 길게 붙어 있으면 그 자체가 신호다.
• 설치 명령을 에이전트에게 대신 실행시키지 마라. 스킬·MCP 서버 설치만큼은 사람이 직접 터미널에 입력하는 절차로 남겨두는 편이 좋다. 자동 승인 모드를 켜둔 상태의 설치는 검토 없는 실행과 같다.
• 압축 파일을 내려받아 실행하는 설치 안내는 일단 중단하라. 정상적인 파이썬·노드 패키지는 공식 패키지 저장소를 통해 설치된다. 설명 문서가 특정 압축 파일 실행을 요구한다면 그 지점에서 멈추는 것이 맞다.
• 쓰는 스킬·MCP 서버 목록을 파일 하나로 관리하라. 이름·저장소 주소·설치일을 적어두면, 나중에 특정 캠페인이 공개됐을 때 내 환경이 걸렸는지 몇 분 만에 확인할 수 있다.

전망 / 주의점

스킬과 MCP 서버는 설정 파일 몇 줄로 늘어나는 만큼 관리 대상에서 빠지기 쉽다. 그러나 이들은 파일 시스템과 셸, 외부 계정 자격 증명에 손이 닿는 구성 요소다. 확장 하나가 곧 권한 하나라는 점에서 브라우저 확장 프로그램과 성격이 같고, 앞으로 공개 레지스트리에 검증 체계가 붙기 전까지는 설치 판단을 사람이 쥐고 있어야 한다. 편의를 위해 만든 자동 승인 설정이 이 판단 지점을 통째로 없앤다는 사실은 지금 한 번 점검해볼 만하다.

출처: Island (https://www.island.io/blog/agentbaiting-how-800-fake-ai-skills-and-mcp-servers-delivered-malware)