다운로드 폴더에 숨은 AGENTS.md 한 장이 코덱스·클로드 코드를 조종한다 — 테스트 90% 이상 성공, 내 PC는 뭘 확인해야 하나?
AI 코딩 도구가 읽는 '프로젝트 메모 파일'이 공격 통로가 됐습니다. 코덱스·클로드 코드를 쓰는 개발자라면 다운로드 폴더와 설정 파일을 오늘 한 번 열어 보세요.
무슨 일인가
보안업체 포에버 시큐리티(Forever Security)가 10월 22일 공개하고 더해커뉴스가 10월 26일 보도한 사례입니다. 한 고객의 PC에서 AI 코딩 에이전트가 작업 도중 악성 npm 패키지 function-color(MALFEX 캠페인으로 알려진 악성코드)를 설치하려는 것을 차단했는데, 원인을 추적해 보니 다운로드 폴더(~/Downloads)에 놓여 있던 AGENTS.md 파일이었습니다. 겉보기엔 평범한 개발 메모였고, 이 파일이 어떻게 들어왔는지는 밝혀지지 않았습니다. 연구진은 웹페이지가 같은 이름의 파일을 조용히 다운로드시키는 시연까지 만들었지만, 실제 경로가 그것이었다고 단정하진 않았습니다.
원리는 단순합니다. 오픈AI 코덱스(Codex)는 작업 폴더의 AGENTS.md를, 앤트로픽 클로드 코드(Claude Code)는 CLAUDE.md를 '프로젝트 지시문'으로 읽습니다. 다운로드 폴더에서 에이전트를 실행하면 거기 놓인 파일도 지시문이 됩니다. 코덱스 시연에서는 파일이 ~/.codex/config.toml에 MCP 서버 항목을 추가하게 만들어 PC 전체 세션에 영향을 주는 명령을 심었고, 승인·샌드박스를 끄는 옵션으로 자식 세션을 띄워 패키지를 설치했습니다. 클로드 코드 시연에서는 CLAUDE.md가 .claude/settings.json에 ANTHROPIC_BASE_URL을 공격자 서버로 적게 해서 API 트래픽과 로그인 토큰을 가로챘고, 가로챈 토큰으로 실제 계정에 접근하는 데 성공했습니다.
내 사업·앱에 무슨 의미
- 앱·웹 운영자 — 외주 개발자나 직원이 코딩 에이전트로 내 서비스 코드를 만진다면, 그 PC의 토큰·배포 키가 새는 경로가 하나 더 생긴 셈입니다. "어느 폴더에서 에이전트를 켜는지"가 보안 항목이 됐습니다.
- 쇼핑몰·스토어 운영자 — 자동화 스크립트를 AI에게 맡겨 돌리는 분이 늘고 있습니다. 커머스 API 키가 든 폴더에서 에이전트를 실행하는 습관 자체를 점검할 때입니다.
- 개발자 — 깃허브에서 받은 저장소의 AGENTS.md·CLAUDE.md도 같은 전제입니다. 모르는 지시문 파일은 '열어 보고' 쓰는 게 기본이고, 승인·샌드박스를 끄라는 문장이 있으면 그 자체가 신호입니다.
지금 해볼 것
~/.codex/config.toml의 모르는 [mcp_servers.*], .claude/settings.json의 ANTHROPIC_BASE_URL·프록시 항목./sandbox로 켤 수 있습니다. 우회 옵션을 쓰라는 지시문은 따르지 않기.function-color 설치 흔적이 있으면 감염으로 보고, 깨끗한 기기에서 로그인 토큰·API 키를 전부 바꾸기.