NEAR 공동창업자 Polosukhin, 가짜 Claude 링크로 인한 ‘컨텍스트 오염’ 경고

가짜 Claude 링크가 정보 탈취 프로그램을 심다

Web3 프로젝트 공동창업자 Numa Lunah가 인공지능이 제안한 다운로드 링크를 따랐다가 디지털 자산 통제권을 잃을 뻔한 사건이 공개됐다. 사건의 시작은 Lunah가 새 작업 환경을 구성하던 중, Anthropic이 개발한 AI 어시스턴트인 Claude에게 전사(transcription) 애플리케이션 링크를 요청하면서였다. 어시스턴트는 프로그램의 공식 웹사이트 대신 피싱 복제 사이트를 가리켰고, Lunah가 그 사본에서 내려받은 설치 파일은 작업 노트북에 몰래 인포스틸러(infostealer)를 심었다. 인포스틸러는 비밀번호, 거래소 계정 자격 증명, 핫월렛에 보관된 개인키를 빠져나가도록 설계된 악성코드다. 개발자들이 에어드롭 수령용 지갑을 포함해 크립토 월렛 주소와 거래 잔고 접근 권한을 한 대의 작업 머신에 함께 두는 경우가 많다는 점에서 피해 규모는 커질 수 있었다. Lunah는 X의 공개 게시물에서 이 일련의 경위를 밝혔다. 이 공격 경로에서 주목할 부분은 신뢰 계층이다. 개발자는 열린 웹에서 직접 소프트웨어를 검색하지 않았고, 자신이 신뢰한다고 여긴 모델에 탐색 자체를 위임했다. 검색엔진 오염이나 오타 도메인 사칭에 수년간 방어 체계를 다져온 보안팀들도 대화 중 단 하나의 정품처럼 보이는 링크를 먼저 내밀는 어시스턴트 앞에서는 뚜렷한 대응책이 없다. 사용자가 대화 흐름 속에서 건네받은 URL을 일일이 검증하는 일은 드물며, 이번 캠페인은 정확히 이 빈틈을 노렸다. Lunah는 침해를 제때 발견해 해당 기기를 네트워크에서 분리하고 운영체제 전체를 재설치했다. 같은 상황이라면 어떤 엔지니어도 수행할 표준 대응이며, 대부분의 악성코드 사건은 여기서 종결된다.

SKILL.md 백도어, 클린 재설치에서도 생존

그러나 재설치로 사건이 끝나지 않았다. 완전히 초기화된 머신에 백업 파일을 복원하던 중, Lunah는 SKILL.md라는 문서의 변경 사항을 발견했다. 이 문서는 평소 AI 도구용 개인 스타일 가이드로 사용하던 파일이었다. 공격자들은 이 평문 파일의 구조를 바꿔놓았다. 깨끗한 컴퓨터에 복사되는 순간 파일이 자동으로 공격자가 통제하는 서버에 접속하고, 인포스틸러를 다시 내려받아 자격 증명 수확을 재개하도록 만든 것이다. 설정 문서 하나가 시스템 전면 재구축에서도 살아남는 지속성(persistence) 메커니즘으로 전락한 셈이다. 이 사건은 Anthropic 생태계 바깥에서도 파장을 일으키며 NEAR Protocol 공동창업자 Illia Polosukhin의 경고로 이어졌다. 그는 자율 AI 에이전트가 사용하는 인프라의 보안이 시급한 과제가 됐으며, 그가 ‘컨텍스트 오염(context poisoning)’이라 부르는 캠페인이 확산 중이라고 경고했다. 컨텍스트 오염이란 AI 시스템이 의존하는 지시문, 메모리 또는 설정 데이터에 악성 콘텐츠를 주입해, 모델의 답변이나 그에 따른 행동이 공격자의 목표 쪽으로 흐르게 만드는 기법이다. 이번 사건에서는 오염된 스킬 파일이 백업 복원 루틴 자체를 조용히 무기화한 사례다. Web3 개발자들에게 남는 교훈은 냉정하다. .md나 .json 확장자의 파일은 더 이상 무해한 문서로 취급할 수 없다. AI 런타임이 그 파일이 지시하는 무엇이든 실행할 수 있기 때문이다. 시장을 실시간으로 추적하려는 독자는 Binance에서 현물·선물 가격을 실시간으로 확인할 수 있다.

사건 경위를 담은 Numa Lunah의 원본 게시물

https://x.com/Numalunah/status/2093431801582661774?s=20

AI 설정 파일이 새로운 공격 표면으로

COINOTAG의 분석으로는, 이번 사건이 보여주는 핵심은 공격 표면이 개발자가 실행하는 코드에서 개발자가 모델에 제공하는 컨텍스트로 옮겨갔다는 점이며, 이는 통제가 훨씬 어려운 경계다. 키를 보유할 수 있는 에이전트를 다루는 개발자들, 즉 떠오르는 AI 크립토 월렛 세그먼트의 전제를 함께하는 이들은 이제 스타일 가이드 하나가 실행 파일만큼 위험한 위협 모델에 직면한다. 원칙적인 대응은 명확하다. AI 스킬 파일을 실행 코드처럼 검토하고, Bitcoin 보유분 등 자산을 담은 머신은 AI 도구 환경에서 분리하며, 복원된 모든 백업은 잠재적으로 공격자가 작성한 것으로 간주해야 한다.