AI 코딩 에이전트 샌드박스, 줄줄이 뚫렸다

널리 쓰이는 AI 코딩 에이전트 네 종의 샌드박스가 연구자들에게 뚫렸다. 커서(Cursor), 오픈AI의 코덱스(Codex), 구글의 제미나이 CLI(Gemini CLI)와 안티그래비티(Antigravity)가 대상이었다. 흥미로운 건 방식이다. 연구팀은 샌드박스를 정면으로 깨지 않았다. 에이전트는 규칙을 하나도 어기지 않은 채, 상자 바깥의 도구가 나중에 읽고 실행할 파일을 남겼을 뿐이다.

무슨 일인가

필라 시큐리티(Pillar Security)의 에일론 코헨, 댄 리시치킨, 아리엘 포겔 연구팀이 수개월에 걸쳐 우회 기법을 재현한 뒤, 7월 20일부터 「샌드박스 탈출 주간(Week of Sandbox Escapes)」이라는 이름으로 하루 한 편씩 공개하기 시작했다. 보안 매체 블리핑컴퓨터가 이를 정리해 보도했다.

현재 코딩 에이전트의 샌드박스는 단순한 선을 긋는다. 프로젝트 작업 폴더 안에서는 에이전트를 믿고, 그 바깥 호스트는 보호한다는 것이다. 문제는 작업 폴더 안의 파일이 가만히 있는 데이터가 아니라는 점이다. 파이썬 확장이 인터프리터를 찾아 실행하고, 깃 연동이 저장소를 훑고, 편집기가 태스크 파일을 돌리고, 훅 엔진이 명령을 쏘고, 도커 데스크톱이 로컬 소켓을 연다. 모두 샌드박스 바깥에서 도는 것들이다.

방아쇠는 프롬프트 인젝션이다. README나 이슈, 의존성 패키지, 코드 변경분에 심어둔 악성 지시가 에이전트를 통해 개발자 PC의 실제 동작으로 바뀐다.

핵심 짚어보기

연구팀은 발견한 일곱 건을 네 가지 실패 유형으로 분류했다. 운영체제의 변화 속도를 따라가지 못하는 차단 목록 방식 샌드박스, 사실상 실행 코드나 다름없는 작업공간 설정 파일, 인자가 아니라 명령 이름만 보고 안전하다고 판단하는 허용 목록, 그리고 애초에 샌드박스 밖에 있는 특권 로컬 데몬이다.

구체적인 사례는 이렇다. 커서에서는 작업공간이 제어하는 훅 설정 파일이 샌드박스 밖 명령 실행으로 이어졌고, 이는 CVE-2026-48124로 등록돼 3.0.0에서 수정됐다. 두 번째 커서 버그는 에이전트가 가상환경 인터프리터를 손대면 편집기의 파이썬 확장이 알아서 그것을 실행해버리는 구조였다. 세 번째는 깃 메타데이터가 반드시 .git 폴더에 있을 필요가 없다는 점을 파고들어 경로 기반 규칙을 비껴갔다.

코덱스 CLI에서는 안전 명령 허용 목록이 특정 깃 명령을 이름만 보고 통과시켰는데, 실제 호출은 읽기 전용이 아니었다. 오픈AI는 v0.95.0에서 고쳤고 고위험 등급 포상금을 지급했다. 도커 소켓과 관련한 발견 하나는 코덱스·커서·제미나이 CLI 세 곳을 동시에 관통했다.

구글의 대응은 온도가 달랐다. 안티그래비티에서 나온 두 건에 대해 구글은 「기타 유효한 보안 취약점」으로 분류하고 등급을 낮췄다. 사회공학이나 사용자가 악성 저장소를 신뢰하는 전제가 필요해 악용이 어렵다고 판단한 것이다. 다만 저장소를 믿고 클론하는 일은 개발자가 매일 하는 행동이라는 점에서, 이 전제가 얼마나 높은 장벽인지는 따져볼 여지가 있다.

사실 이 취약점 계열 자체는 새롭지 않다. 지난 4월 사이뮬레이트(Cymulate)가 클로드 코드(Claude Code), 제미나이 CLI, 코덱스 CLI를 대상으로 「설정 기반 샌드박스 탈출」이라는 이름으로 같은 패턴을 정리한 바 있다. 새로운 것은 범위다. 세 개 벤더의 네 개 도구에서 같은 구조적 결함이 동시에 확인됐다.

1인기업 실전 적용 포인트

• 지금 쓰는 코딩 에이전트의 버전부터 확인하자. 커서는 3.0.0 이상, 코덱스 CLI는 v0.95.0 이상이어야 이번에 공개된 문제들이 막힌다.
• 남의 저장소를 클론해서 에이전트에게 바로 붙이는 습관이 가장 위험하다. 처음 보는 저장소는 훅 설정 파일과 편집기 태스크 설정을 사람 눈으로 먼저 열어보고 붙이자.
• 에이전트를 돌리는 동안 도커 데스크톱처럼 특권 로컬 데몬을 켜두지 않는 것만으로 이번 사례 중 한 갈래는 통째로 차단된다. 필요할 때만 켜는 쪽으로 습관을 바꾸자.
• 도구 선택 기준을 바꿀 때다. 「샌드박스가 있느냐」가 아니라 「그 에이전트가 남긴 파일을 바깥의 무엇이 읽고 실행하느냐」가 진짜 질문이다.

전망 / 주의점

필라 측이 제시한 해법은 금지 파일명을 더 늘리는 방식이 아니다. 신뢰된 로컬 도구가 에이전트의 산출물을 실행하는 그 순간을 감시하자는 쪽이다. 방향은 맞아 보이지만, 일반 사용자가 당장 적용할 수 있는 형태는 아니다.

1인기업에게 이 사건의 실질적 의미는 단순하다. 코딩 에이전트에 자동 승인을 걸어두고 방치하는 운영은 위험 구간에 들어섰다는 것이다. 대부분의 취약점은 이미 패치됐지만, 같은 구조가 남아 있는 한 다음 발표가 또 나올 가능성이 높다. 업데이트를 미루지 않는 것이 가장 값싼 방어다.

출처: BleepingComputer (https://www.bleepingcomputer.com/news/security/cursor-codex-gemini-cli-antigravity-hit-by-sandbox-escapes/)