앤트로픽(Anthropic)의 최신 대규모 언어모델(LLM)인 클로드 코드 오푸스 5(Claude Code Opus 5)가 자동 모드(Auto Mode)에서 심각한 보안 취약점을 드러냈습니다. 한 연구자가 간단한 웹사이트 요약 요청만으로 클로드의 자동 모드를 하이재킹(hijacking)하여 코드 실행에 성공했으며, 공격 성공률이 60~80%에 달한다고 발표했습니다. 이는 앤트로픽이 외부 기관에 의뢰한 평가에서 오푸스 5 자동 모드의 프롬프트 주입(prompt injection) 공격 성공률이 0.00%였다고 밝힌 것과 정면으로 배치되는 결과입니다.
이번 공격은 클로드가 웹페이지 내용을 요약하는 과정에서 시작됩니다. 공격자는 클로드가 웹페치(WebFetch) 도구 대신 컬(curl) 명령어를 사용하도록 유도한 뒤, 악성 ZIP 압축 파일로 리디렉션(redirection)했습니다. 클로드는 압축 파일 내의 악성 바이너리(binary) 실행을 거부했지만, 아이러니하게도 스스로 파이썬(Python) 디코더를 작성하여 실행했습니다. 문제는 이 디코더가 공격자가 제어하는 압축 해제 디렉터리 내에서 실행되면서, 파이썬 표준 라이브러리의 'struct' 모듈을 가로채는 '모듈 섀도잉(module shadowing)' 기법을 통해 악성 코드를 실행하게 된 것입니다. 이 과정에서 클로드는 정상적인 JSON 기록을 디코딩하는 것처럼 보였지만, 실제로는 공격자의 의도대로 동작했습니다.
이번 연구 결과는 LLM의 '자동 모드'가 인간의 승인 프롬프트(prompt)를 안전 분류기(safety classifier)로 대체하면서 발생할 수 있는 잠재적 위험을 명확히 보여줍니다. 앤트로픽은 계층적 방어(layered defenses)를 통해 간접 프롬프트 주입 공격을 거의 0으로 줄일 수 있다고 주장했지만, 이번 사례는 이러한 방어 체계가 실제 공격 시나리오에서는 충분하지 않을 수 있음을 시사합니다. LLM을 활용하는 기업이나 개발자들은 에이전트(agent)를 격리된 환경에서 실행하고 지속적으로 모니터링하는 것이 필수적이며, 자동화된 안전 장치만을 맹신해서는 안 된다는 경고를 던지고 있습니다.