파일·셸 권한 줬더니...앤트로픽, 클로드 코드 '비밀 추적 코드' 논란 작성일 07-02 19 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">리셀러·증류 공격 탐지하는 은닉코드 발견…앤트로픽 "업데이트 통해 철회"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="99ekT0e4c0"> <p contents-hash="3f21c3bac4258423474434e2c0d2d4c2382969bf35e473dec7c7cd3f65015322" dmcf-pid="22dEypd8c3" dmcf-ptype="general">(지디넷코리아=남혁우 기자)앤트로픽의 인공지능(AI) 개발 도구 '클로드 코드'에 특정 사용자 환경을 식별하기 위한 코드가 숨겨져 있던 것으로 나타났다.</p> <p contents-hash="5b7c47af4646b0ecb03cc81f5d97ef3bad6adb815a94c6d3933d8d28d82301a9" dmcf-pid="VVJDWUJ6aF" dmcf-ptype="general">파일시스템 접근과 셸 명령 실행 등 강력한 권한을 가진 개발 도구가 사용자에게 알리지 않고 정보를 전송해온 사실이 드러나면서 투명성 문제가 도마 위에 올랐다.</p> <p contents-hash="798d2eb2bf262c2c545cfffdcad42e9b72ffc7c7673703bed952d6ad510e3765" dmcf-pid="fJETp4EoNt" dmcf-ptype="general">2일 앤트로픽 엔지니어 타릭 시히파르는 해당 코드가 지난 3월 도입한 실험적 조치로 무단 리셀러의 계정 남용과 모델 증류(AI 복제)를 막기 위한 것이었다고 소셜미디어 엑스(X)를 통해 밝혔다.</p> <figure class="figure_frm origin_fig" contents-hash="79b8da1f18ad57daf5a3a5630b9a12b532a0123a8ef861b5d433705793124879" dmcf-pid="4iDyU8Dgj1" dmcf-ptype="figure"> <p class="link_figure"><img alt="(사진=앤트로픽)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/02/ZDNetKorea/20260702091551995vhci.png" data-org-width="632" dmcf-mid="KcrY7PrNcp" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/02/ZDNetKorea/20260702091551995vhci.png" width="658"></p> <figcaption class="txt_caption default_figure"> (사진=앤트로픽) </figcaption> </figure> <p contents-hash="5ea5639afee3dac621df1785056205a79a6ee6ca85fd572ae5251cc3fb717266" dmcf-pid="8nwWu6waA5" dmcf-ptype="general">이어 현재는 더 강력한 대응 수단을 마련한 상태라며 해당 코드는 업데이트를 통해 즉시 철회될 예정이라고 설명했다.</p> <p contents-hash="4ca9ff351d81c431964fa61699c4857effdaded94200ae8c3771171e908baaa0" dmcf-pid="6LrY7PrNjZ" dmcf-ptype="general">이번 사안은 '더리얼로(Thereallo)'라는 개발자가 클로드 코드 2.1.196 버전 바이너리를 분석한 결과를 블로그에 공개하면서 세상에 알려졌다.</p> <p contents-hash="dffe85bed7f1cbdfb65cbbe9e619109f438f143cac78932658dc057e1467b07a" dmcf-pid="PomGzQmjoX" dmcf-ptype="general">그는 클로드 코드가 파일시스템과 셸, 깃(Git), 브라우저 등 사용자의 핵심 권한을 광범위하게 요구하는 만큼 클라이언트 바이너리 자체에 대한 검증이 필요하다고 판단해 분석에 나섰다고 설명했다.</p> <p contents-hash="280383de918c94114e9cb9be74f21478996ab763931214cf55b72525481fa31e" dmcf-pid="QgsHqxsAjH" dmcf-ptype="general">분석 결과 클로드 코드는 시스템 프롬프트에 포함되는 날짜 문자열을 이용해 특정 신호를 숨기는 '암호화 은닉(스테가노그래피)' 기능을 포함하고 있었다. 기본적으로 클로드 코드 시스템 프롬프트에는 날짜를 입력할 때 "Today's date is YYYY-MM-DD" 형태로 문장이 삽입된다.</p> <p contents-hash="90e8fc5c6da23169db86a5dce422715213dbaf85a235359521361e680662f03c" dmcf-pid="xaOXBMOcoG" dmcf-ptype="general">하지만 특정 조건이 충족되면 문장 속 홑따옴표(')를 구분하기 어려운 다른 유니코드 마커로 변경하거나 날짜 구분자를 하이픈(-)에서 슬래시(/)로 바꾸는 방식이 적용됐다. 사용자나 모델의 눈에는 평범한 문장으로 보이지만 앤트로픽 백엔드 서버는 이를 분류 코드로 파싱할 수 있게 설계한 것이다.</p> <p contents-hash="d3c1015d31307bb7cdeb832662d1545bdd1cb627236e91365a561178fb1c15de" dmcf-pid="y32JwW2uAY" dmcf-ptype="general">이 코드는 클로드 코드의 API 연결 경로를 지정하는 환경변수가 공식 주소가 아닌 경우에만 작동했다. 즉 자체 프록시나 게이트웨이, 리셀러 서비스 등을 거쳐 우회 접속하는 사용자만 타깃으로 삼은 로직이다.</p> <p contents-hash="db2ea5b867840785cb72b421055c36a3cab204245df9f253647e8153917ab03d" dmcf-pid="W0VirYV7oW" dmcf-ptype="general">이 조건이 충족되면 시스템은 추가로 두 가지를 확인했다. 사용자의 시간대가 중국(상하이, 우루무치)인지, 그리고 접속 호스트네임이 사전 정의된 블랙리스트 도메인이나 특정 AI 기업 키워드와 일치하는지 여부다.</p> <p contents-hash="8669cd63efbefa159e1c52b54774e18c060cc713c913aabe7c81acfbf0e9fbb2" dmcf-pid="YpfnmGfzNy" dmcf-ptype="general">공개된 블랙리스트 분석 결과에는 딥시크, 문샷, 미니맥스, 지푸, 바이촨, 스텝펀 등 중국의 신생 AI 기업 관련 키워드가 대거 포함된 것으로 나타났다. 도메인 목록에는 바이두, 알리바바, 바이트댄스 등 중국 대형 IT 기업 도메인과 함께 다수의 API 리셀러·프록시·게이트웨이 도메인도 포함됐다.</p> <p contents-hash="76f641efd620439cb1616cfedab51e12ae5d41af4d84e384e23f332652d42a84" dmcf-pid="GU4LsH4qAT" dmcf-ptype="general">해당 목록은 외부 유출을 막기 위해 베이스64로 인코딩한 뒤 XOR 연산으로 한 번 더 난독화해 바이너리 내부에 저장돼 있었다.</p> <p contents-hash="0f792b5ca2525c24bedc62c6044fec2cf34307aaaf4405bf659ad4ebbfb61882" dmcf-pid="Hu8oOX8BNv" dmcf-ptype="general">더리얼로는 앤트로픽이 무단 리셀러나 모델 증류 파이프라인을 탐지하기 위해 해당 코드를 숨긴 것으로 분석하며 자산 보호라는 목적 자체는 이해할 수 있다고 평가했다. 하지만 이를 사용자에게 명확히 알리지 않고 시스템 프롬프트 내부에 숨겨진 신호 형태로 구현한 점은 심각한 문제라고 지적했다.</p> <p contents-hash="22576a6f7ebcc533f010dfd865441cb311ca66ae2c6f24353fc87b1c1919f027" dmcf-pid="X76gIZ6bkS" dmcf-ptype="general">그는 "AI 코딩 에이전트는 로컬 파일을 읽고 수정하며 명령을 직접 실행할 수 있는 도구"라며 "게이트웨이 사용 여부를 확인할 필요가 있었다면 별도 원격 데이터 전송(텔레메트리) 필드를 쓰거나 문서화된 정책을 통해 투명하게 공개했어야 한다"고 주장했다.</p> <p contents-hash="50280f60969620463333d2d3e38183ced02b9b377a7b70c0013b14923f391db0" dmcf-pid="ZzPaC5PKol" dmcf-ptype="general">실효성에 대한 의문도 제기됐다. 분석에 따르면 해당 기능은 호스트명 변경, 타임존 수정, 바이너리 패치 등 비교적 단순한 편법으로 우회할 수 있다. 정교한 기술 탈취 세력을 막기에는 한계가 있는 반면 내부 보안망을 위해 사설 게이트웨이나 연구 환경을 구축해 사용하는 일반 개발자들만 애꿎게 식별되어 피해를 볼 수 있다는 지적이다.</p> <p contents-hash="831a3251f6eebf8ea11e41f0b26ea803ef55ee900345b59b46db799c75e172a4" dmcf-pid="5qQNh1Q9jh" dmcf-ptype="general">앤트로픽 측은 이러한 은닉형 사용자 식별 방식을 이용약관 등 공식 문서에 사전 고지했는지를 묻는 질문에 명확한 답변을 내놓지 않았다.</p> <p contents-hash="a59627cd3ec7d6603f00570bd8fcd5e2a427bad1e3f18007b36dde1dd88e0d4d" dmcf-pid="1QaI5baeNC" dmcf-ptype="general">회사 대변인은 시히파르 엔지니어의 트윗 내용을 인용하는 데 그쳤으며 새로 도입했다는 '더 강력한 대응 수단'에 대한 구체적인 작동 방식에 대해서도 답변을 피했다.</p> <p contents-hash="4b4e301b6618db34e432dad8563746bb5511e9821175903f0c269edc89132ecc" dmcf-pid="txNC1KNdaI" dmcf-ptype="general">남혁우 기자(firstblood@zdnet.co.kr)</p> </section> </div> <p class="" data-translation="true">Copyright © 지디넷코리아. 무단전재 및 재배포 금지.</p> 관련자료 이전 삼성·LG, 가전 A/S 1위…독자 AI 기술로 서비스 진검승부 07-02 다음 클라우드플레어, 'AI 크롤러' 차단 확대…"콘텐츠 대가 정당해야" 07-02 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
