코딩 에이전트의 하네스가 사용자 승인을 거쳐 저장한 허용 규칙을 악용해 보호 장치를 무력화하는 공격이 논문으로 공개됐다. 저장소에 심어 둔 악성 문맥이 일상적인 작업을 수행하던 에이전트를 조종해, 그럴듯한 이유를 달았지만 범위가 지나치게 넓은 허용 규칙을 요청하게 만든다는 내용이다. 사용자가 이를 승인하면 이후 공격자의 악성 행동이 승인 절차 없이 실행된다. 이 연구는 2026년 10월 16일 arXiv에 올라왔다.
연구진은 Claude Code와 Codex CLI를 포함한 실제 제품에서 실험했다. 에이전트가 목표로 삼은 허용 규칙을 끌어낸 비율은 실험 사례의 58%였다. 얻어 낸 규칙은 기능 범주별 시험 사례의 56.9%를 포괄했다.
규칙 승인을 전제로 한 적격 사례(eligible instances) 58건 중 47건(81.0%)에서는 공격이 사용자 모르게 목표를 완수한 것이 검증됐다. 연구진은 이 결과가 휴먼 인 더 루프 감독의 안전 보장을 훼손한다고 주장했다.
공격이 작동하는 방식
코딩 에이전트의 하네스는 권한 경계를 강제해 프롬프트 인젝션의 피해를 제한한다. 샌드박스 밖에서 이루어지는 모든 행동을 결정적으로 가로채 사용자에게 승인을 묻는다. 승인 피로를 줄이기 위해 사용자는 에이전트가 제안한 허용 규칙을 승인할 수 있고, 승인하면 이후 그 규칙에 맞는 행동은 프롬프트 없이 허용된다.
연구진은 이 편의 장치가 새로운 위험을 만든다고 지적했다. 신뢰할 수 없는 문맥이 승인 화면에 나오는 권한 내용에 영향을 줄 수 있고, 그 결과가 당장의 작업을 넘어 이후까지 이어진다는 것이다. 공격은 저장소에 심은 문맥으로 일상적인 작업을 하던 에이전트를 조종하는 방식이다. 저장된 규칙이 하네스의 눈을 사실상 가리면, 원래라면 승인이 필요했을 행동이 사람의 감독 없이 실행된다.
출처
이 기사는 아래 자료를 바탕으로 정리했습니다. 제목을 누르면 원문이 새 창으로 열립니다.