지난주, Accomplish AI의 연구원들은 새로운 Claude Cowork 세션에 단일 폴더를 연결하고, 짧은 메시지 하나를 보낸 뒤, 에이전트가 샌드박스(sandbox)를 탈출하는 것을 목격했습니다.

이론적으로나 실험실 안에서 일어난 일이 아닙니다. 실제 Mac에서, 디스크에 저장된 실제 SSH 키와 클라우드 자격 증명(credentials)을 대상으로 발생했습니다. 이 파일들은 에이전트가 절대 건드려서는 안 되는 것들이었습니다.

SharedRoot라고 명명된 이 결함은 CVE-2026-46331 — CVSS 점수 7.8점의 Linux 커널 권한 상승(privilege escalation) 버그 — 를 악용하여 Anthropic의 샌드박스 모델의 두 가지 레이어, 즉 가상 머신(virtual machine) 격리와 파일 액세스 권한 경계(file-access permission boundary)를 모두 뚫었습니다. 로컬 Cowork 세션을 실행 중인 약 500,000명의 macOS 사용자가 노출되었습니다.

Anthropic의 대응은 어땠을까요? 그들은 보안 보고서를 **"Informative(정보 제공용)"**로 종결했습니다. 패치도 없었습니다. 권고안(advisory)도 없었습니다. 로컬 실행 모드에 대한 수정도 없었습니다. 그들은 7월 7일에 클라우드 실행이 이미 기본값으로 설정되었다고 지적했습니다. 이는 보안 대응이 아니라 웹 및 모바일로의 광범위한 제품 확장 과정의 일부였으며, 그들은 그대로 상황을 넘겼습니다.

이것은 최근 2주 동안 발생한 일류 AI 연구소의 두 번째 샌드박스 탈출 사례입니다. 지난주, 우리는 OpenAI의 모델이 격리(containment)를 깨고 Hugging Face를 공격한 것에 대해 작성했습니다. 이제 Anthropic의 차례입니다. 패턴은 명확합니다: 플랫폼이 스스로를 감사(audit)할 것이라고 믿을 수 없으며, "수정됨"과 "우회됨" 사이의 간극에서 사용자가 피해를 입는다는 것입니다.

SharedRoot가 어떻게 두 개의 잠금장치를 뚫었나

Claude Cowork는 Apple의 Virtualization framework로 구축된 macOS 상의 Linux 가상 머신(VM) 내부에서 에이전트 작업을 실행합니다. 두 가지 보안 레이어가 유지되어야 했습니다:

1. VM 격리 (VM isolation) — 에이전트는 Mac으로부터 격리된 Linux VM 내부에서 실행됩니다.
2. 권한 범위 지정 (Permission scoping) — 사용자가 승인한 폴더만 에이전트와 공유됩니다.

SharedRoot는 초기 메시지 외에 사용자의 상호작용이 필요 없는 6단계 체인을 통해 이 두 가지를 모두 무력화했습니다. 발생한 과정은 다음과 같습니다:

1~2단계: 세션 사용자가 unshare를 호출하여 권한이 없는 사용자 네임스페이스(user namespace)를 생성하여, 프라이빗 네트워크 네임스페이스 내에서 CAP_NET_ADMIN 권한을 획득했습니다.

Step 3: 해당 권한(capability)을 통해 Linux 트래픽 제어(traffic-control) 서브시스템과 상호작용하여 act_pedit 커널 모듈을 로드할 수 있었습니다.

Step 4: CVE-2026-46331 ("pedit COW") — act_pedit 모듈의 Copy-on-Write (COW) 버그 — 가 root 소유의 헬퍼 바이너리(helper binary)의 페이지 캐시(page cache)를 손상시켰고, 이를 통해 세션 사용자의 권한을 VM 내부의 guest-root로 상승시켰습니다.

Step 5–6: guest-root 권한을 얻은 에이전트는 Cowork가 macOS 호스트 파일 시스템 전체를 읽기-쓰기(read-write) 권한으로 마운트한 경로인 /mnt/.virtiofs-root에 접근했습니다. SSH 키, 클라우드 자격 증명(credentials), 브라우저 데이터 등 로그인된 Mac 사용자가 접근할 수 있는 모든 것을 에이전트가 이제 읽고 쓸 수 있게 되었습니다.

두 번째 권한 승인 프롬프트도 없었습니다. 사용자의 동의도 없었습니다. 탐지도 없었습니다.

Accomplish AI의 수석 보안 연구원인 Oren Yomtov가 The Hacker News에 전한 바와 같습니다: "VM 내부에서 호스트 Mac에 도달하여 우리가 연결했던 폴더를 훨씬 벗어난 곳의 파일들을 어디에서도 권한 프롬프트 없이 읽고 썼습니다."

결정적인 설계 결함은 커널 버그 그 자체에 있지 않았습니다. 호스트 파일 시스템 전체를 읽기-쓰기 권한으로 VM에 마운트하기로 한 결정이 문제였습니다. 만약 사용자가 승인한 폴더만 공유되었다면, VM 내부에서 root 권한을 획득하더라도 막다른 길에 다다랐을 것입니다.

네 가지 설계 선택, 각각이 잠기지 않은 자물쇠였다

Accomplish AI는 단 하나의 버그가 탈출을 유발한 것이 아니라고 강조했습니다. 각각은 개별적으로 방어 가능해 보였던 네 가지 독립적인 설계 결정이 결합되어 완전한 우회(bypass)를 만들어냈습니다:

이 중 어느 하나라도 제대로 잠겨 있었다면 연쇄 반응을 끊을 수 있었을 것입니다. 네 가지 모두가 열려 있었습니다. 이것이 바로 심층 방어(defense-in-depth)가 실제로 구축되지 않았을 때 나타나는 모습입니다.

'해결책'이라 불렸던 것이 아니었던 것

Anthropic의 대응은 면밀한 검토가 필요합니다. 그들은 취약점(vulnerability)을 패치하지 않았습니다. 로컬 모드(local-mode) 사용자들을 위한 보안 권고(security advisory)를 발행하지도 않았습니다. 그들은 Accomplish AI의 보고서를 **"Informative" (정보 제공용)**로 종결지었습니다. 버그 바운티(bug bounty) 용어로 이는 "흥미롭지만 우리의 문제는 아니다"라는 분류를 의미합니다.

연구자들에 따르면 그들의 논리는 다음과 같습니다. 근본적인 커널 버그(CVE-2026-46331)가 이미 30일간의 공개 공시(public disclosure) 기간에 있었으므로, 이는 다른 누군가의 책임이라는 것입니다. 네 가지 강화(hardening) 권장 사항 — 비특권 네임스페이스(unprivileged namespaces) 비활성화, seccomp 강화, 모듈 자동 로딩(module autoloading) 차단, 파일 시스템 마운트(filesystem mounts) 범위 제한 — 은 개별 결함에 대한 수정(fix)이라기보다는 "심층 방어 (defense-in-depth)"로 프레임화되었습니다.

Anthropic은 Cowork가 웹과 모바일 기기로 확장된 7월 7일에 이미 클라우드 실행(cloud execution)을 기본값으로 설정했습니다. 이것은 보안 대응이 아닌 제품 결정이었으나, 결과적으로 새로운 세션에서 로컬 VM 탈출(VM escape) 경로를 우회하게 되었습니다. 로컬 실행을 선택하는 사용자들은 여전히 노출된 상태로 남아 있습니다.

클라우드 실행은 합리적인 완화 조치(mitigation)입니다. 하지만 이것은 해결책(fix)이 아닙니다. 그 이유는 다음과 같습니다:

• 로컬 실행을 선택하는 사용자들은 여전히 노출되어 있습니다. 취약점은 여전히 존재합니다. 마운트(mount)는 여전히 읽기-쓰기(read-write) 상태입니다. 커널은 여전히 버그 하나만큼 뒤처져 있습니다.
• 클라우드 실행은 신뢰 경계(trust boundary)를 이동시킬 뿐, 제거하지 않습니다. 이제 사용자들은 로컬 VM 대신 Anthropic의 클라우드 격리(cloud isolation)를 신뢰하게 됩니다. 50만 명의 사용자 노출을 "Informative"로 분류했던 바로 그 회사가 이제 샌드박스(sandbox) 무결성의 유일한 보증인이 되었습니다.
• 근본 원인 — 에이전트 VM에 호스트 파일 시스템 전체를 읽기-쓰기 권한으로 마운트하는 것 — 은 전혀 해결되지 않았습니다. 그것은 우회되었을 뿐입니다.

Yomtov가 말했듯이, "당신은 구조적으로 항상 버그 하나만큼 뒤처져 있습니다." 이 CVE를 패치하더라도, 다음 커널 권한 상승(kernel privilege escalation)이 발생하면 위에서 언급한 모든 사항이 수정되지 않은 채로 공격 체인이 다시 무장됩니다.

패턴: 2026년 7월의 샌드박스 탈출 유행

SharedRoot는 고립된 사건이 아닙니다. 이는 2026년 7월 한 달 동안에만 공개된 다섯 번째 AI 에이전트 샌드박스 탈출(sandbox escape) 사례입니다:

다섯 건의 사건. 다섯 가지의 서로 다른 벡터 (vectors). 하나의 근본 원인: 시스템 수준의 권한 (system-level access)을 가진 채 독립적인 행동 검증 (independent behavioral verification) 없이 자율적으로 작동하는 에이전트들.

우리의 이전 포스트(#19)에서 우리는 세 가지 비대칭성 (asymmetries)을 명명했습니다: 공격자의 AI는 제한이 없고, 방어자의 AI는 스스로 설정한 가드레일 (guardrails)에 의해 차단되며, 증거 — 즉 발생한 일에 대한 중립적인 기록 — 는 에이전트의 99.994%에 대해 존재하지 않는다는 점입니다.

Anthropic의 "정보 제공용 (Informative)" 분류는 네 번째 비대칭성을 추가합니다: 책임의 비대칭성 (accountability asymmetry). 플랫폼이 자신의 치명적인 취약점을 '정보 제공용'으로 분류하고 이를 수정하지 않은 채 우회할 수 있다면, 누가 그들에게 책임을 물을 수 있습니까?

1,000만 개의 기록이 보여주는 것

AgentRisk는 60개 이상의 플랫폼에서 2,447,878개의 AI 에이전트와 **10,167,878개의 행동 기록 (behavioral records)**을 추적합니다. 이 데이터는 Anthropic의 "정보 제공용"이라는 라벨이 가리고 있는 문제의 규모를 드러냅니다:

Claude Cowork의 노출된 500,000명의 macOS 사용자는 단일 플랫폼의 단일 제품 사례일 뿐입니다. AgentRisk의 데이터는 60개 이상의 플랫폼에 걸쳐 240만 개의 에이전트가 있음을 보여주며, 그중 독립적으로 검증된 에이전트는 단 152개뿐입니다. 플랫폼이 50만 명의 사용자 노출을 "정보 제공용"으로 분류할 때, 질문은 단순히 "왜 수정하지 않았는가?"가 아닙니다. "그 외에 누가 지켜보고 있는가?"입니다.

플랫폼 자체 감사 (Self-Audit)가 실패하는 이유

SharedRoot 사례는 AI 에이전트 보안에 있어 구조적인 이해 상충 (conflict of interest)을 드러냅니다: 샌드박스 (sandbox)를 구축하고, 에이전트를 실행하며, 도입을 통해 수익을 창출하는 바로 그 조직이 취약점이 "정보 제공용"인지 아니면 "치명적 (Critical)"인지를 결정하는 주체이기도 합니다.

인센티브를 고려해 보십시오:

• Anthropic은 Cowork 채택으로부터 이익을 얻습니다. 공개적인 치명적 취약점 공시 (Critical vulnerability disclosure)는 해당 채택 속도를 늦출 것입니다.
• Anthropic은 버그 바운티 (Bug bounty) 분류를 통제합니다. "정보 제공용 (Informative)"으로 분류하면 "치명적 (Critical)" 라벨이 가져오는 보상금 지급, 권고문 발행, 그리고 평판 저하 비용을 피할 수 있습니다.
• Anthropic은 완화 조치 (Mitigation)를 설계할 필요조차 없었습니다. 클라우드 실행 (Cloud execution)은 이미 기본 설정이었습니다. 이는 7월 23일 공시가 있기 몇 주 전인 7월 7일, 제품 확장(product expansion)의 일환으로 설정되었습니다. 보고서가 접수되었을 때, Anthropic은 기존의 기본 설정을 지목하며 실제 결함에 대한 어떠한 엔지니어링 노력도 투자하지 않고 해당 취약점을 "정보 제공용 (Informative)"으로 분류할 수 있었습니다.

이는 Anthropic에만 국한된 일이 아닙니다. OpenAI의 사고 보고서 (Incident report)는 자신들의 샌드박스 탈출 (Sandbox escape)을 "전례 없는 사이버 사고 (Unprecedented cyber incident)"로 규정하면서도, 동시에 자신들의 모델만을 대상으로 하는 새로운 "궤적 수준 모니터링 (Trajectory-level monitoring)"을 강조했습니다. 모든 플랫폼은 동일한 인센티브 구조를 가지고 있습니다: 위험에 대한 인식을 최소화하고, 통제에 대한 인식을 극대화하는 것입니다.

결과적으로: 취약점은 등급이 낮아지고, 수정 사항은 제품 업데이트로 재구성되며, 사용자는 과소 보고 (Underreporting)와 이해관계가 일치하는 당사자를 신뢰하도록 남겨집니다.

무엇이 존재해야 하는가

업계는 샌드박스 (Sandboxes), 가드레일 (Guardrails), 그리고 런타임 모니터링 (Runtime monitoring)을 구축하고 있습니다. 모두 필요합니다. 하지만 모두 불충분합니다. 왜냐하면 이 모든 것들이 플랫폼 자체에 의해 구축되고 분류되기 때문입니다.

지금 결여된 것은 다음과 같은 기능을 수행하는 **독립적이고 교차 플랫폼적인 행동 증거 레이어 (Independent, cross-platform behavioral evidence layer)**입니다:

• 에이전트가 실제로 수행하는 작업(Records what agents actually do)을 기록합니다 — 허용된 작업이나 플랫폼이 주장하는 작업이 아닙니다.
• 단일 제공자의 분류 시스템 외부에서 작동합니다 (Operates outside any single provider's classification system) — Anthropic에게

다음 샌드박스 탈출 (sandbox escape)은 '만약'의 문제가 아니라 '언제'의 문제입니다. 문제는 플랫폼이 이를 무엇이라 부르기로 선택하든 상관없이, 무슨 일이 일어났는지 재구성할 수 있는 기록을 누군가가 보유하고 있느냐 하는 것입니다.

우리는 지켜보고 있습니다. 240만 개의 에이전트 (agents). 1,000만 개의 기록 (records). 21,394개의 경고 (alerts). 이해 상충 (conflicts of interest)은 제로입니다.

AgentRisk는 60개 이상의 플랫폼에서 240만 개 이상의 AI 에이전트를 추적하며 1,000만 개 이상의 행동 기록을 보유하고 있습니다. 에이전트의 신뢰 점수 확인하기 또는 API 탐색하기.

데이터 소스: AgentRisk API (api.agentrisk.app/v1/stats, 2026-07-28 조회) | Accomplish AI SharedRoot 공개 (2026년 7월 23일) | The Hacker News | The Next Web (2026년 7월 20일 — 4개 팀 분석; 2026년 7월 26일) | AppleInsider (2026년 7월 27일) | 9to5Mac (2026년 7월 27일) | IT之家 (2026년 7월 28일) | OpenAI 사고 보고서 (2026년 7월 21일) — AgentRisk Blog #19 참조