클로드 확장 프로그램 백도어, 커서 공식 계정서 12시간 배포

클로드 확장 프로그램 백도어 사고 개요

아르스 테크니카에 따르면 Anthropic의 Claude 모델용 공식 VS Code 확장 프로그램이 커서 마켓에서 악성 버전으로 배포됐다. 문제는 Anthropic의 검증된 커서 계정을 통해 공식 확장이 올라간 것으로, 보안 연구자 케빈 보몬트와 보안업체 Phorian의 루크 로버츠 CTO가 이를 확인했다. Cursor는 금요일 성명에서 악성 확장이 최대 5,000명 사용자에게 영향을 줄 수 있다고 밝혔다. 원문 기준 Anthropic은 아직 고객에게 이 사고를 공개 통지하지 않았다.

악성 버전은 2.1.313이며, 이전 버전 2.1.312를 사실상 대체하는 형태로 배포됐다. Cursor에 따르면 사용자가 직접 내려받거나 시스템이 자동으로 가져가면서 최대 5,000명 규모의 사용자가 영향을 받을 수 있었다. Anthropic은 이전 버전이 커서에 올라온 뒤 몇 시간 지나 2.1.314를 배포했고, Cursor는 악성 버전을 마켓에서 제거하고 추가 배포를 차단했다. 노출 구간은 목요일 오전 5시 27분부터 오후 4시 35분(ET)까지로 약 12시간에 가깝다.

이번 사건은 단순한 확장 프로그램 오류가 아니라 공식 배포 계정이 공격자에게 넘어간 공급망 침해로 분류된다. 공격자가 Anthropic의 커서 계정에 어떻게 접근했는지는 아직 공개되지 않았다. Cursor와 Anthropic 모두 사고 경위를 묻는 질문에 답하지 않았고, 이 점이 사용자와 개발 조직의 불확실성을 키우고 있다.

사고가 알려진 시점과 공개 통지의 간극도 기록됐다. 원문은 사고가 금요일 여러 매체 보도로 드러났지만 Anthropic이 고객 공지를 내지 않았다고 전한다. Cursor는 성명을 냈지만 Anthropic은 확인 질문에 답하지 않았다. 이는 사고의 기술적 범위와 별개로, 개발자들이 어떤 기준으로 자신의 기기를 점검해야 하는지에 대한 정보 부족을 남긴다.

커서 공식 계정 침해가 키운 공급망 리스크

이 사고의 핵심은 공식 배포 채널이 공격자 손에 들어갔다는 점이다. Phorian의 루크 로버츠 CTO는 아르스에 ‘공격자가 공식 배포 채널에 접근한 공급망 침해’라고 설명했다. 악성 2.1.313은 공식 Anthropic 계정에 게시돼 2.1.312를 대체했고, 사용자가 자동 업데이트 설정을 바꾸지 않았다면 별도 확인 없이 받아갔을 수 있다.

VS Code 확장은 Cursor의 통합 개발 환경 권한으로 실행된다. Cursor는 악성 버전이 설치되면 로컬 파일과 소스 코드, 개발 도구에 접근할 수 있었을 것으로 보고 있다. 개발자 기기에는 클라우드 자격 증명과 API 토큰, 사내 코드가 함께 있는 경우가 많아 피해가 개인 PC를 넘어 조직의 개발 환경으로 번질 수 있다. Phorian은 악성 코드가 수집한 환경 변수 이름만으로도 운영자가 감염 기기에 어떤 클라우드 자격 증명과 API 토큰이 있는지 빠르게 파악할 수 있었다고 설명했다.

원문에 직접 언급은 없지만, ‘Anthropic 공식 계정’이라는 신뢰 표지가 오히려 탐지와 경계를 늦추는 요소로 작용할 수 있다. 개발자는 보통 공식 마켓의 공식 게시자를 신뢰하고 업데이트를 승인한다. 이번 사고는 그 신뢰가 계정 탈취 하나로 깨질 수 있음을 보여준다.

개발자 도구의 확장은 편의 기능처럼 보이지만 실제로는 소스 코드와 빌드 환경에 깊숙이 들어간다. Cursor가 밝힌 권한 문제는 확장 하나가 개발자 워크플로 전체에 접근할 수 있음을 보여준다. 원문에 직접 언급은 없지만, 조직은 개인별 설치 이력과 자동 업데이트 정책을 함께 점검해야 하는 상황이다.

클로드 확장 자동 업데이트 전에는 어땠나

커서 마켓의 확장은 기본적으로 자동 업데이트된다. 로버츠는 악성 2.1.313이 공식 Anthropic 계정에 게시되면서 2.1.312를 사실상 대체했고, 사용자가 설정에서 자동 업데이트를 끄지 않았다면 시스템이 새 버전을 가져갔을 수 있다고 말했다. 이전에는 ‘공식 계정이 올린 새 버전’을 신뢰하는 관행이 자연스러웠다. 이번 사고는 그 관행이 공격자가 노린 지점이 됐다는 사실을 드러낸다.

Cursor는 사고 대응으로 악성 버전을 마켓에서 제거하고 추가 배포를 차단했다. 회사 인력은 역방향 셸이 연결된 서버를 호스팅한 클라우드 제공자와 협력해 감염 기기가 더 이상 그 서버에 닿지 않도록 조치했다. 또 키 회전과 접근 통제 점검, 다른 확장 프로그램의 추가 침해 여부 확인을 위해 VSCode 마켓플레이스를 일시 중단했다. 마켓플레이스는 현재 다시 열린 상태다.

하지만 이 조치들은 이미 배포된 악성 버전의 영향을 되돌리는 조치와는 구분된다. 원문은 안전한 2.1.314로 바꾸는 것만으로 이미 감염된 기기가 깨끗해지는 것은 아니라고 짚는다. 공격자가 어떤 경로로 공식 계정을 장악했는지에 대한 설명도 아직 없다.

마켓 운영사와 모델 제공사의 책임 경계도 드러난다. 확장은 Anthropic 계정으로 배포됐지만 유통은 Cursor 마켓에서 이뤄졌다. 원문은 두 회사가 사고 경위를 설명하지 않았다고 전한다. 원문에 직접 언급은 없지만, 사용자는 어느 쪽의 보안 공지와 침해 지표를 신뢰해야 하는지 판단하기 어려워진다.

커서에서 실제로 무엇이 실행됐나

Cursor가 공개한 악성 코드의 첫 단계는 정찰이다. 호스트명, 사용자명, OS, 아키텍처, 홈 디렉터리 경로, 환경 변수 이름, 작업 디렉터리, 설정된 Git 이메일, 공인 IP를 수집하려 했다. 이 정보는 공격자가 감염 기기의 성격과 주변 환경을 파악하는 데 쓰일 수 있다.

다음 단계는 지속적인 SSH 백도어 설치 시도다. 악성 코드는 공격자가 통제하는 SSH 키를 authorized_keys에 추가하고, 로컬 SSH 서비스를 활성화하고, 역방향 SSH 터널을 열려고 했다. 이 코드는 Windows, macOS, Linux에서 동작하도록 작성됐다. Cursor는 Cursor 확장이 IDE 권한으로 실행되기 때문에 설치 이후 로컬 파일과 소스 코드, 개발 도구에 접근할 수 있었을 것으로 본다.

악성 코드는 macOS의 LaunchAgent나 Windows의 SYSTEM 권한 실행을 노리는 예약 작업, 시작 스크립트 대체 경로로 터널을 지속시키려 했다. 백그라운드 스크립트는 약 60초마다 터널을 재시도하도록 작성됐고, 호스트 세부 정보와 백도어 상태를 8099 포트의 /beacon으로 HTTP POST 전송하려 했다. 다만 Cursor는 악성 코드의 오류 때문에 관리자 권한으로 Cursor를 실행한 매우 이례적인 경우가 아니면 SSH 키 추가와 서비스 활성화 단계가 실패했을 것으로 설명했다.

Phorian은 코드 결함에도 불구하고 이 악성코드가 지속성 설치와 호스트 정찰 비콘 전송을 시도하는 ‘중대한 위협’이라고 평가했다. Windows와 macOS용 악성 코드의 버그가 일부 경우 백도어 동작을 막았지만, 모든 기능이 무력화된 것은 아니라는 뜻이다. 원문은 Cursor와 Phorian이 IP 주소와 암호화 해시 등 여러 침해 지표를 공개한다고 전한다.

정찰과 백도어 시도는 별개로 봐야 한다. 일부 단계가 실패해도 수집된 정보나 비콘 전송 시도 자체가 후속 공격의 단서가 될 수 있다. Cursor와 Phorian이 공개한 침해 지표는 기기 점검과 네트워크 차단에 쓰일 수 있는 최소한의 단서다. 원문은 안전 버전이 기존 감염을 제거하지 않는다고 명시해 단순 업데이트만으로 끝내기 어렵게 한다.

클로드 백도어 사고의 미확인 지점

원문은 공격자가 실제로 얼마나 많은 기기에서 백도어를 완성했는지 확정하지 않는다. Cursor가 밝힌 ‘최대 5,000명’은 악성 버전을 내려받거나 자동으로 받았을 수 있는 사용자 규모이지, 실제 감염이 확인된 수치는 아니다. SSH 백도어 단계가 코드 오류로 실패한 사례가 있었던 점도 피해 범위를 단정하기 어렵게 만든다. 안전 버전 배포만으로 기존 감염이 제거되지 않는다는 점도 남은 불확실성이다.

그럼에도 피해 가능성을 축소해 해석할 근거는 많지 않다. Phorian은 코드 결함에도 악성코드가 지속성과 정찰 비콘을 시도하는 중대한 위협이라고 평가했다. 환경 변수 이름 수집만으로도 클라우드 자격 증명과 API 토큰의 존재를 빠르게 파악할 수 있었다는 설명은 후속 공격 우선순위가 정해질 수 있음을 시사한다. 원문에 직접 언급은 없지만, 개발자 도구 확장은 소스 코드와 배포 권한에 가까워 일반 앱보다 파급이 클 수 있다.

또 하나의 쟁점은 공개 통지다. 원문 기준 Anthropic은 아직 고객에게 이 사고를 알리지 않았고, Cursor와 Anthropic 모두 사고 경위 질문에 답하지 않았다. 사용자 입장에서는 공식 계정 침해 원인과 다른 확장 프로그램의 안전 여부가 확인되기 전까지 불확실성이 남는다. 이는 기술적 피해와 별개로 신뢰 회복 비용을 키우는 부분이다.

이번 사고는 AI 코딩 도구의 보안 경계가 모델 자체에만 있지 않다는 점을 보여준다. 모델 제공사의 공식 계정과 마켓 유통, IDE 권한, 자동 업데이트가 한 사슬로 연결돼 있다. 원문에 직접 언급은 없지만, 사용자 교육만으로는 공식 계정 탈취를 막기 어렵다. 마켓 접근 통제와 확장 검증의 구조적 개선이 함께 논의돼야 하는 이유다.

커서·클로드 마켓에서 앞으로 볼 신호

다음 분기에 확인할 첫 신호는 공격자가 어떻게 Anthropic의 검증된 커서 계정에 접근했는지에 대한 설명이다. 원문 기준 두 회사는 이 질문에 답하지 않았고, Anthropic은 고객 공개 경고도 내지 않았다. 사고 경위와 고객 통지 여부는 향후 유사 공급망 침해에서 책임 범위와 대응 속도를 가늠하는 기준이 될 수 있다.

두 번째 신호는 마켓 접근 통제와 키 회전, 다른 확장 프로그램의 추가 침해 여부다. Cursor는 키 회전과 접근 통제 점검, 추가 침해 확인을 위해 VSCode 마켓플레이스를 일시 중단했다고 밝혔다. 세 번째는 커서 사용자의 자동 업데이트 설정과 확장 서명·검증 절차가 어떻게 바뀌는지다. 원문에 직접 언급은 없지만, 개발자 도구 마켓이 AI 코딩 도구의 공급망으로 자리 잡은 만큼 마켓 운영 방식의 변화가 핵심이 될 수 있다.

실사용자에게 당장 확인할 기준은 원문이 제시한 노출 시간이다. 목요일 오전 5시 27분부터 오후 4시 35분(ET) 사이에 커서에서 Anthropic의 VS Code 확장을 설치하거나 업데이트한 사람은 영향을 받은 것으로 간주해야 한다. 최근 설치자도 잠재 감염을 고려하라는 것이 원문의 안내이며, Cursor와 Phorian이 공개한 IP 주소와 해시 등 침해 지표를 확인할 필요가 있다.

또 하나 확인할 것은 사고 재현과 영향 범위다. 원문은 최대 5,000명이라는 상한과 실제 감염 수를 구분하지 않는다. 사용자는 노출 시간과 침해 지표를 기준으로 기기를 점검하고, 조직은 개발자 기기의 자격 증명 회전 여부를 검토할 필요가 있다. 원문에 직접 언급은 없지만, 후속 공지에서 이 구분이 얼마나 투명하게 제시되는지가 신뢰 판단의 기준이 될 것이다.

자주 묻는 질문

관련 기사

• 클로드 앤트로픽, IPO 앞두고 정크등급 전망
• 클로드 코드, 국방부 보안망 연결이 드러낸 AI 통제 공백
• 클로드 앤스로픽 IPO 공개: AI 안전 서사와 수익성의 충돌
• 앤트로픽 경고 "소형 AI 모델, IoT 기기서 스스로 복제 가능"

출처

Ars Technica 원문

원문 확인 2026-10-31