Claude Code Auto 모드 우회 공격 공개 — 연구자가 밝힌 80% 성공률

배경

Anthropic이 보안 경계선으로 홍보해 온 Claude Code의 Auto 모드가 보안 연구자 Johann Rehberger에 의해 우회될 수 있음이 밝혀졌다. Embracethered 블로그에 공개된 이 연구는 HN에서 285점을 넘기며 AI 보안 커뮤니티의 뜨거운 관심을 받았다.

공격 체인 4단계

1. 초기 유도: 공격자가 415 에러를 반환해 Claude가 WebFetch 대신 bash/curl 명령어를 사용하도록 유도한다.
2. 악성 아카이브 전달: 인코딩된 페이로드와 함께 struct.py라는 악성 파일이 담긴 ZIP을 다운로드하게 만든다.
3. 모듈 섀도잉: Claude가 Base64 디코더를 직접 작성할 때, Python이 표준 라이브러리의 base64 대신 공격자의 struct.py를 불러오게 된다.
4. 원격 코드 실행: 오염된 모듈이 악성 코드를 다운로드하고 실행해 C2(명령·제어) 서버와 연결을 맺는다.

핵심 발견

Anthropic은 독립 테스트에서 공격 성공률을 "0.00%"로 발표했지만, 연구자는 실제 환경에서 60~80%의 성공률을 기록했다. Auto 모드가 악성 프로세스 종료를 오히려 막는 역설적인 상황도 관측됐다.

"분류기(classifier)는 샌드박스가 아니다. 네트워크 격리와 컨테이너화가 필수다." — 연구자 결론

영향

이 공격은 Claude Code를 실행 중인 개발자 머신에서 임의 코드 실행을 허용하며, Auto 모드의 승인 메커니즘을 완전히 우회한다. AI 코딩 도구에 대한 보안 경계 설정의 중요성을 다시 한번 부각시킨 사례다.

출처: Embracethered — Breaking Claude Code Opus 5 Auto Mode