피드로 돌아가기
Dev.toSecurity
원문 읽기
512K줄 Claude Code 소스 유출로 AI Agent 보안-through-obscurity 전략 무효화됨
Anthropic Just Leaked Claude Code's Source. Here's What That Means for Every AI Agent You Run.
AI 요약
Context
2026년 3월 Anthropic이 Claude Code v2.1.88 배포 시 .npmignore 설정 누락으로 512,000줄 TypeScript 소스맵이 npm 레지스트리에 공개됨. KAIROS 영구 데몬 모드, Undercover Mode 등 44개 미출시 기능 플래그와 내부 모델 코드명이 노출됨.
Technical Solution
- Runtime Security Governance: Agent 내부 reasoning과 독립적인 인프라 레이어에서 tool access policies, content policies, operational policies 적용함
- Pre-execution Control: 각 행동 실행 전 security control 평가하여 공격자가 Agent 로직을 알더라도 제어 우회 방지함
- Behavioral Anomaly Detection: 비정상 행위 감지 시 circuit breaker 트리거하는 운영 정책 구현함
- Supply Chain Integrity Monitoring: axios 악성 버전(1.14.1, 0.30.4) 삽입 사례처럼 의존성 무결성 실시간 감시 강화함
- Input/Output Filtering: 인프라 레이어에서 입력 검증과 출력 필터링을 Agent reasoning 외부에서 수행함
Impact
Clean-room 재구현repo가 2시간 만에 50,000 GitHub stars 달성하여 GitHub 역사상 최단 기간 성장 기록함.
Key Takeaway
AI Agent 보안은 공격자가 내부 아키텍처를 모르더라도 보호하는 설계가 필수임. Obscurity에 의존하는 보안 모델은 궁극적으로 실패함.
실천 포인트
AI Agent를 운영하는 환경에서는 Agent가 SSH keys, API tokens, 코드 수정 권한을 보유하므로 security-through-obscurity를 포기하고 모든 tool invocation과 입출력을 인프라 레이어에서 검증해야 함. npm 패키지 배포 시 *.map 파일 자동 제외 설정과 의존성 무결성 검증을 CI/CD 단계에 추가할 것.