Claude Code 및 Cursor에서 DPAPI 남용이 EDR을 트리거함

요약

AI 코딩 에이전트(Claude Code, Cursor 등)가 DPAPI 기반 자격 증명 복호화나 Windows Credential Manager 열거 같은 행위를 수행하면서 EDR 시스템의 탐지 규칙을 트리거하는 사례가 보고되었습니다. 이러한 행동은 악의적이지 않더라도 공격 전술과 유사하여 방어자들에게 혼란을 주고, 고충실도 탐지 규칙에 대한 신뢰도를 저하시킬 수 있습니다.

핵심 포인트

• AI 코딩 에이전트가 DPAPI를 사용하여 자격 증명을 복호화함.
• Credential Manager 열거 및 시작 폴더 쓰기 등 공격과 유사한 행위를 보임.
• 자동화된 활동과 실제 침입 간의 경계 모호성이 방어에 어려움을 초래함.