zsh의 [[ ]]

정규 표현식 조건에 명령어를 숨기면, Bash 도구의 권한 체크를 통과하여 실행할 수 있었습니다. v2.1.221에서 이 취약점이 보완되었으며, 해당되는 명령어는 허가 프롬프트를 띄우게 됩니다. allow

규칙을 세세하게 작성하여 자동 실행시키고 있는 환경일수록, 통과/통과하지 못함의 경계가 움직입니다.

• zsh의 숨겨진 명령어가 Bash 도구의 권한 체크를 통과함
  • [[ ]]의 정규 표현식 조건에 심어둔 명령어가 확인 없이 실행됨 (v2.1.221)
• print 모드에서 MCP 서버가 첫 번째 턴에 맞춰 준비되지 않음
  • --mcp-config로 전달한 도구 호출이 그대로 문자열로 출력됨 (v2.1.221)
• 샌드박스 인증 정보 파일에 마스크 모드 추가
  • Linux / WSL에서 더미 값을 읽게 하고, 외부 통신 시 프록시가 실제 값으로 교체함 (v2.1.221)
• VSCode에 Focus view 추가
  • 도구 실행 로그를 턴 단위의 접기 요약으로 접음. Ctrl+Alt+F로 전환 (v2.1.221)
• 백그라운드 세션이 commit과 push를 수행하게 됨
  • draft PR은 태스크가 요구할 때만 생성하며, 마지막에 결과물의 위치를 보고함 (v2.1.221)
• auto 모드의 권한 체크가 캐시된 프리픽스(prefix)를 재사용
  • 병렬 도구 호출의 프롬프트 캐시 비용이 절감됨 (v2.1.221)

[[ ]]는 zsh의 조건식 구문으로, =~의 우변에 정규 표현식을 작성할 수 있습니다. 여기에 명령어를 교묘하게 섞어 넣으면, Bash 도구의 권한 체크를 그대로 통과하여 allow에도 deny에도 걸리지 않은 채 처리가 진행되었습니다. 사용자의 승인 없이 실행될 수 있는 형태였습니다.

Fixed a Bash tool permission-check bypass where zsh could execute hidden commands in [[ ]] regex conditionals; affected commands now prompt for permission

해결 방법은 "예외 취급을 중단하고 승인 쪽으로 돌리는 것"입니다. 누락되었던 명령어는 v2.1.221부터 허가 프롬프트 대상이 됩니다.

allow 규칙으로 Bash를 자동 실행시키고 있는 환경이 대상입니다. 지금까지 확인 없이 통과되던 패턴이 승인 대기로 바뀝니다. 무인 파이프라인을 돌리고 있다면, 중간에 멈추는 구간이 생기지 않는지 확인해 두시기 바랍니다.

동일한 릴리스에서 Windows 측의 권한 체크도 수정되었습니다. PowerShell에 인용구를 포함한 경로를 전달할 때 해석이 어긋나던 문제로, 이 역시 승인을 요청하는 동작으로 통일되었습니다.

claude -p "차이점을 리뷰해줘" --mcp-config <config>

이와 같은 형태로 전달한 MCP 서버가 첫 번째 턴이 시작되기 전에 연결되지 않았었습니다. 도구가 보이지 않는 상태로 모델이 동작하기 때문에, 도구 호출이 단순 텍스트로 출력됩니다. print 모드의 출력은 그대로 후속 스크립트로 전달되므로, 도구 실행을 전제로 하는 쪽에서 동작이 망가집니다.

v2.1.221에서는 첫 번째 턴 이전에 연결을 기다리도록 변경되었습니다. CI에서 -p로 호출했을 때 MCP 도구가 호출되지 않았다면, 우선 이 부분을 의심해 보아야 합니다.

샌드박스 인증 정보 파일에 mode: "mask"가 추가되었습니다. 샌드박스 내부의 명령어에는 sentinel 복사본을 읽게 하고, 외부 통신 시 샌드박스 프록시가 실제 값으로 치환합니다. 마스크 범위는 파일 전체로 할지, 혹은 extract의 정규 표현식으로 포착한 구간(span)만 할지 선택할 수 있습니다.

대응은 Linux와 WSL만 가능합니다. macOS에서는 파일 마스크가 deny로 폴백(fallback)되기 때문에, 토큰의 평문을 읽게 하면서 명령어를 실행하는 용도는 당분간 Linux / WSL로 한정됩니다.

v2.1.221의 핵심은 권한 체크의 허점을 막고, zsh의 [[ ]]와 Windows의 따옴표 포함 경로 두 가지 시스템을 개선했다는 점입니다. 둘 다 통했던 것이 승인 대기(pending approval)로 바뀌는 방향이므로, 자동 실행에 의존하는 환경일수록 동작 변화가 클 것입니다. 인증 정보 마스크 모드와 백그라운드 세션의 commit / push 역시 무인 실행의 안전한 쪽으로 기울어진 변경 사항이었습니다.