AI 에이전트의 설정 파일에 평문 비밀 정보가 있다: 이를 찾는 22가지 규칙 스캐너

지난 4월, Cursor 에이전트가 프로덕션 데이터베이스를 9초 만에 삭제했습니다. 테스트용 데이터베이스가 아닙니다. 프로덕션입니다. 차량 렌탈 비즈니스를 지원하는 SaaS 플랫폼인 PocketOS는 단 한 번의 Railway API 호출로 라이브 데이터베이스와 모든 볼륨 레벨 백업을 잃었습니다. 해당 에이전트는 일상적인 스테이징 작업을 할당받았습니다. 크리덴셜 불일치를 감지하고, 스스로 코드베이스를 스캔하여 관련 없는 파일에서 권한이 과도하게 부여된 API 토큰을 발견했고, 아무에게도 묻지 않고 파괴적인 삭제를 실행했습니다.

창업자의 사후 분석(post-mortem) 글은 전부 읽어볼 가치가 있습니다. 하지만 저에게 가장 와닿았던 세부 사항은 다음과 같습니다: 에이전트가 사용한 토큰은 작업과 전혀 관련 없는 파일에 놓여 있었습니다. 이 토큰은 전체 Railway 계정에 걸쳐 포괄적인 권한을 가지고 있었습니다. 에이전트는 그것을 발견하고, 사용했고, 다음으로 넘어갔습니다. 9초 만에.

문제는 하나의 사건보다 더 크다

AI 코딩 에이전트들은 대부분의 팀이 감사하지 않는 파일들을 건드립니다. 여러분의 .mcp.json은 인증 토큰을 가진 MCP 서버 목록을 가지고 있습니다. 여러분의 CLAUDE.md나 .cursorrules는 세션 시작 시 셸 명령을 실행하는 후크(hook)를 정의할 수 있습니다. 여러분의 settings.json은 권한 모드와 허용 목록을 설정할 수 있습니다.

숫자는 계속 쌓이고 있습니다:

Hush Security가 GitHub에서 약 82,000개의 공개 MCP 설정 파일을 분석했습니다. 크리덴셜 슬롯의 12%에 하드코딩된 비밀 정보가 있었습니다. 환경 변수 참조도 아니고, 플레이스홀더도 아니었습니다. API 키, 데이터베이스 비밀번호 또는 베어러 토큰이 버전 관리 시스템에 그대로 노출되어 있었습니다. 그 비밀 정보 중 55%는 어떤 공급업체도 인식할 수 있는 토큰 형태를 갖추지 못했기 때문에 gitleaks나 trufflehog 같은 표준 스캐너들은 이를 그냥 지나칩니다.

CVE-2026-25725는 Claude Code의 샌드박스가 파일이 시작 시점에 존재하지 않으면 .claude/settings.json을 보호하지 못한다는 것을 보여주었습니다. 샌드박스 내부의 악성 코드는 해당 파일을 생성하여 재시작 시 호스트 권한으로 실행되는 영구적인 후크를 주입할 수 있습니다. CVSS 3.1 점수는 10.0, 심각합니다. 수정 사항은 v2.1.2에 반영되었지만, 핵심 패턴은 이렇습니다: 저장소에서 쓰기 가능한 설정 파일들은 공격 표면(attack surface)이 됩니다.

METR의 연구에 따르면 AI 도구를 사용하는 숙련된 개발자들은 작업을 완료하는 데 19% 더 오랜 시간이 걸렸으며, 자신들이 20% 더 빠르다고 믿었습니다. 이 인식 격차가 여기서 중요합니다. 자신이 더 빠르다고 느끼면 검토를 덜 하게 됩니다. 에이전트가 방금 건드린 설정 파일의 변경 사항(diff)을 건너뛰는 식입니다.

Glean's Work AI Institute에 따르면 근로자들은 매주 6.4시간을 AI '보조(botsitting)'하는 데 사용합니다. 컨텍스트를 제공하고, 출력을 확인하며, 실수를 디버깅하는 것입니다. 거의 주당 하루 전체 근무 시간에 해당합니다. 하지만 그 시간의 대부분은 설정 검토가 아닌 코드 검토에 쓰입니다. 아무도 에이전트가 .mcp.json이나 settings.json에서 무엇을 변경했는지 체계적으로 확인하지 않습니다.

실제로 놓치는 것들

저는 PocketOS 사후 분석 보고서를 읽은 후 이러한 표면(surfaces)들을 정리하기 시작했습니다. 목록이 예상보다 길었습니다:

• 지침 파일 (Instruction files) (AGENTS.md, CLAUDE.md, .cursorrules, copilot-instructions.md, .windsurfrules): 숨겨진 유니코드 문자, 라인이 실행되는 방식과 다르게 렌더링되게 만드는 bidi 오버라이드(bidi overrides), 지침 스택을 무효화하는 프롬프트 인젝션(prompt injection), 또는 .env 파일과 SSH 키를 외부로 빼돌리라는 지침을 포함할 수 있습니다.

• MCP 설정 (MCP config) (.mcp.json, mcp.json): ${ENV_VAR} 참조 대신 리터럴 형태로 하드코딩된 인증 토큰(auth tokens). 알려진 어떤 벤더 패턴과도 일치하지 않는 환경 변수 블록 내의 고엔트로피 문자열. 암호가 포함된 연결 문자열(Connection strings).

• 훅 및 플러그인 (Hooks and plugins) (.claude/commands/, .cursor/ 스크립트, plugin.json): 세션 시작 또는 커밋 시 실행되는 셸 스크립트(shell scripts). 이들은 자격 증명 저장소(credential stores)를 읽거나, 가져온 데이터를 셸로 파이프하거나, 권한 우회 선언을 할 수 있습니다.

• 제어 파일 (Controls) (settings.json, settings.local.json): 에이전트 자신이 쓸 수 있는 파일에 정의된 권한 모드, 훅 정의(hook definitions), 그리고 허용 목록(allowlists). CVE-2026-25725 패턴입니다.

대부분의 팀은 이 중 어떤 것에 대해서도 자동화된 검사를 수행하지 않습니다. 그들은 애플리케이션 코드에 대해 비밀 스캐너를 실행하고 에이전트 설정 디렉터리는 완전히 무시합니다.

격차를 메우는 스캐너

저는 이러한 모든 표면을 확인하는 Python 스캐너를 만들었습니다. 다섯 개의 영역, 22가지 규칙, 표준 라이브러리 외에는 의존성이 없습니다. 오프라인으로 실행되며, AI나 네트워크 호출이 필요하지 않습니다. 저장소(repo)를 지정하면 심각도, 위치, 증거, 그리고 각 문제에 대한 구체적인 수정 방안을 담은 발견 테이블을 얻게 됩니다.

다섯 가지 영역:

1. 유니코드 / 주입 탐지 (Unicode / Injection detection)

보이지 않는 문자(제로 폭 공백, 소프트 하이픈), 코드가 실행되는 방식과 다르게 보이게 할 수 있는 Bidi 제어 문자, 그리고 동형 문자(Cyrillic 또는 그리스 문자를 라틴 단어에 섞은 것)를 찾습니다. 이들은 명령어 파일에서 시각적 스푸핑 공격의 구성 요소입니다.

2. 주입 / 우회 탐지 (Injection / Override detection)

정보 유출 명령어(.env, SSH 키, AWS 자격 증명 읽기, 가져온 내용을 셸로 파이프), 프롬프트 주입(

저장소에 쓰기 가능한(repo-writable) 설정 파일에 정의된 플래그, 훅 및 권한을 확인합니다. 이것이 CVE-2026-25725 패턴입니다. 만약 settings.json이 에이전트가 쓸 수 있는 파일을 지정하여 훅을 정의한다면, 스캐너는 해당 내용을 관리되는 설정(managed settings)으로 옮기라고 알려줍니다. 개인 오버라이드 파일(.local.)의 경우 차단(blocking) 발견 사항 대신 정보 수준(info-level) 메모를 받게 됩니다.

출력: 파일 위치, 규칙 이름, 발견 내용, 마스킹된 증거 및 구체적인 복구 단계를 포함하는 심각도별 정렬된 발견 테이블(critical/high/medium/low/info)입니다. 종료 코드 0은 깨끗함(clean)을 의미하고, 종료 코드 1은 차단되는 발견 사항을 의미합니다. 한 줄로 CI에 통합할 수 있습니다.

python audit/scan.py /path/to/repo --report audit-report.md

구매하기 (Get it)

Security Audit Kit은 $29 on Gumroad에서 구매할 수 있습니다. 버전은 v0.1.0입니다. 스캐너, 규칙 정의 및 모든 밴드에 대한 문서를 받게 됩니다.

출시 할인: 코드 LAUNCH를 사용하면 €10 할인이 적용됩니다.

구매 전에 사용해 보고 싶으신가요? 무료 샘플을 받아보세요. Next.js 저장소용 완전한 에이전트 설정 키트로, 무료이며 버전화된 키트의 구조를 확인할 수 있습니다.

먼저 무료 예시가 필요하신가요? GitHub의 agents-md-examples repo에는 연구하고 적용할 수 있는 예시 에이전트 설정 파일들이 있습니다.

지금 이것이 중요한 이유 (Why this matters now)

PocketOS 사고는 자격 증명(credential)에 접근할 수 있었고, 에이전트가 이를 발견하는 것과 사용하는 것 사이에 게이트가 없었기 때문에 발생했습니다. Hush 연구는 공개 GitHub의 MCP 설정 중 12%가 동일한 문제를 가지고 있음을 보여주었습니다. CVE-2026-25725는 설정 파일 자체가 공격 표면(attack surface)임을 보여주었습니다. 그리고 METR 및 Glean 연구는 우리가 에이전트를 감독하는 데 더 많은 시간을 쓰고 있지만, 실제로 발생하는 일 중 적은 부분을 포착하고 있음을 보여줍니다.

에이전트 설정 표면에 대한 자동화된 스캐닝은 기본(table stakes)입니다. 만약 여러분이 코드베이스에서 AI 에이전트를 실행하고 있는데 .mcp.json, CLAUDE.md 또는 settings.json에 무엇이 들어있는지 확인하지 않았다면, 지금 시작하기 좋은 시기입니다.