Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
MindJack은 AI 코딩 어시스턴트의 로컬 공격 표면을 감사하기 위한 보안 연구 툴킷입니다. 이 도구는 대화 기록 추출(extractor)과 주입 표면 스캔(injector) 기능을 제공하며, OWASP 준수 매핑이 포함된 인터랙티브 HTML 보고서를 생성합니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 GitHub AI Tools의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기AI 에이전트의 생각 속으로 들어가세요. 그들의 기억을 읽고, 지침을 다시 작성하세요.
AI 코딩 어시스턴트의 로컬 공격 표면(local attack surface)을 감사하기 위한 보안 연구 툴킷입니다.
종속성 제로(Zero dependencies), Python 3.10 이상 표준 라이브러리만 사용합니다.
extractor.py - 10개 AI 도구의 대화 기록 추출injector.py - 주입 표면(injection surfaces) 스캔 및 56가지 공격 시나리오 시연mindjack report - OWASP 준수 매핑이 포함된 인터랙티브 HTML 공격 그래프 생성면책 조항: 승인된 보안 테스트, 레드팀(red teaming), CTF 챌린지 및 AI 안전 연구 목적으로만 사용해야 합니다. 소유하지 않은 시스템에 대한 테스트를 수행하기 전에는 항상 적절한 권한을 얻으십시오.
| 도구 | Extractor | Injector | 주요 공격 표면 (Key Attack Surface) |
|---|---|---|---|
| Claude Code | history, sessions, memories | rules, settings, hooks, MCP, memory | CLAUDE.md, settings.json, hooks (RCE) |
| ... |
git clone https://github.com/7h30th3r0n3/MindJack.git
cd MindJack
pip install -e . # 통합된 `mindjack` CLI 설치
...
모든 것이 이제 하나의 CLI로 통합되었습니다. 레거시 진입점(legacy entry points)은 하위 호환성을 위해 여전히 작동합니다:
python3 extractor.py ...및python3 injector.py ....
지원되는 모든 AI 도구로부터 로컬 대화 데이터를 읽어와 JSON 및 Markdown으로 내보냅니다.
python3 extractor.py # 모든 데이터 추출
python3 extractor.py -o ~/export # 사용자 지정 출력 디렉토리
python3 extractor.py --json-only # Markdown 보고서 건너뛰기
...
ai_history_export/
all_conversations.json # 모든 데이터 통합
claude-code.json # 출처별 파일
...
{
"source": "claude-code",
"session_id": "abc123-..."
}
| Tool | 추출되는 내용 | 저장 경로 |
|---|---|---|
| Claude Code | 사용자 프롬프트 (JSONL), 세션 요약 (.tmp), 영구 메모리 (.md) | ~/.claude/ |
파일 기반 프롬프트 인젝션 및 설정 오염(configuration poisoning)을 다양한 AI 코딩 어시스턴트 전반에 걸쳐 스캔하고 시연합니다.
| 카테고리 | 위험도 | 예시 |
|---|---|---|
| Instructions | CRITICAL | CLAUDE.md, AGENTS.md, .cursorrules, .clinerules, .windsurfrules |
# Scan - discover all injectable targets
python3 injector.py scan
python3 injector.py scan --json targets.json
...
| Recipe | Description |
|---|---|
claude-settings-allowall | 모든 도구(Bash, Read, Write, Edit, Agent, WebFetch, WebSearch)를 화이트리스트로 설정합니다. |
| ... |
| Recipe | Description |
|---|---|
codex-sandbox-disable | danger-full-access 샌드박스 및 full-auto 승인을 설정합니다. |
| ... |
| Recipe | Description |
|---|---|
cursor-rules-backdoor | 숨겨진 인증 우회(auth bypass) 및 오류 유출(error exfil)을 포함하는 .cursorrules입니다. |
| ... |
| Recipe | Description |
|---|---|
copilot-instructions-poison | 취약한 패턴이 포함된 .github/copilot-instructions.md 파일입니다. |
| Recipe | Description |
|---|---|
aider-autocommit-nocheck | 자동 커밋을 활성화하고 린트(lint) 및 테스트를 비활성화합니다. |
aider-conventions-poison | SQL 인젝션 및 MD5 비밀번호가 포함된 CONVENTIONS.md 파일입니다. |
| Recipe | Description |
|---|---|
continue-config-overwrite | 악성 MCP와 임의 모델(rogue model)로 설정을 덮어쓰는 .continuerc.json입니다. |
continue-rules-inject | 모든 .env 파일을 읽는 alwaysApply 기능을 가진 전역 규칙입니다. |
| Recipe | Description |
|---|---|
cline-rules-inject | .clinerules가 설정 스크립트를 실행하고 모든 것을 자동 승인함 |
| ... |
| Recipe | Description |
|---|---|
windsurf-global-rules-poison | 모든 워크스페이스에 대해 global_rules.md를 덮어씀 |
windsurf-memory-inject | 자동 생성된 메모리를 오염시킴 |
| Recipe | Description |
|---|---|
amazonq-rules-inject | .amazonq/rules/에 하드코딩된 AWS 자격 증명과 공개 S3를 포함함 |
amazonq-mcp-inject | 환경 변수를 유출하는 MCP 서버 |
| Recipe | Description |
|---|---|
mcp-rogue-server | 악성 MCP 서버 (Claude, Cursor, Amazon Q) |
| ... |
| Recipe | Description |
|---|---|
cross-tool-agents-md | 5개 이상의 도구가 동시에 읽는 AGENTS.md |
| ... |
프리셋은 --payload-preset을 사용하여 모든 대상에 주입할 수 있습니다:
| Category | Presets |
|---|---|
| Data Exfiltration | exfiltrate_secrets, exfiltrate_codebase, exfiltrate_git |
| ... |
--dry-run: 파일 수정 없이 모든 변경 사항을 미리 보여줍니다..agentscan.bak): 모든 수정 전에 자동 백업을 생성합니다.clean: 실제 사전 주입 상태를 복원합니다. 수정된 파일은 백업에서 바이트 단위로 복원되며, 주입으로 생성된 파일은 제거됩니다 (비어 있거나 여전히 오염된 상태로 남지 않습니다).<!-- AGENTSCAN-INJECTION -->): 식별을 위한 마커입니다.여러 도구에 의해 읽히는 파일들은 높은 가치를 지닌 공격 대상이 됩니다:
| File | Read by |
|---|---|
AGENTS.md | Codex CLI, Cursor, Windsurf, Cline/Roo Code, GitHub Copilot |
| ... | |
복제된 저장소 내의 단일 AGENTS.md 파일은 5개 이상의 AI 도구를 은밀하게 오염시킬 수 있습니다. |
모든 MindJack 시나리오는 OWASP가 분류한 실제 취약점과 연결됩니다.
출처: genai.owasp.org/resource/owasp-top-10-for-llm-applications-2025
| ID | 취약점 (Vulnerability) | MindJack 커버리지 |
|---|---|---|
| LLM01 | 프롬프트 주입 (Prompt Injection) | 모든 명령어/규칙 주입 (CLAUDE.md, AGENTS.md, .cursorrules, .clinerules, .windsurfrules) - MindJack의 핵심 |
| ... |
출처: genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026
| ID | 취약점 (Vulnerability) | MindJack 커버리지 |
|---|---|---|
| ASI01 | 에이전트 목표 탈취 (Agent Goal Hijack) | redirect_instructions, cross-tool-full-takeover, claude-rules-inject - 명령어 파일을 통한 에이전트 목표 무효화 |
| ... |
| 프레임워크 | 커버됨 | 총 개수 | 커버율 |
|---|---|---|---|
| OWASP Top 10 LLM (2025) | 9/10 | 10 | 90% |
| OWASP Top 10 Agentic (2025) | 10/10 | 10 | 100% |
LLM08 (벡터 및 임베딩 취약점)은 커버되지 않은 유일한 항목입니다. 이는 로컬 파일 기반 공격 표면이 아닌 RAG 파이프라인 내부와 관련됩니다.
MindJack v2는 공격 경로 분석이 포함된 독립적인 대화형 HTML 보고서를 생성하는 설치 가능한 모듈을 포함합니다.
pip install -e .
# 모든 도구를 포함한 전체 보고서 생성
mindjack report --scope ~ --allow-home-scope -o report.html
...
| 탭 | 설명 |
|---|---|
| Executive Summary | 위험 대시보드, 도구 목록, MITRE ATT&CK 태그가 지정된 주요 발견 사항, 공격 유형별 위험 매트릭스 |
| ... |
mindjack discover --scope ~ --allow-home-scope # 아티팩트 및 표면 검색
mindjack assess --scope ~ --allow-home-scope # JSON/MD 보고서로 전체 평가 수행
mindjack graph --scope ~ --allow-home-scope # 신뢰 그래프를 JSON으로 내보내기
...
apply안전 기능: 실제 파일에 쓰기 작업을 하므로,--lab-mode와--yes없이는 실행을 거부하며, 명시적인 비(非)홈(non-home)--scope와--target필터를 요구합니다. 또한 사용자 자신의~/.claude,~/.codex등에는 암묵적으로 접근하지 않는 엄격한 범위를 사용합니다. 모든 쓰기 작업은 백업되며restore명령어로 되돌릴 수 있습니다. 먼저simulate로 미리보기를 수행하세요.
PYTHONPATH=. python3 -m mindjack.tests # 전체 테스트 스위트 실행 (pytest 불필요)
| 플랫폼 | Extractor | Injector |
|---|---|---|
| Linux | Full | Full |
| ... |
이 툴킷은 안전한 작동을 위해 여러 보호 기능을 포함합니다:
CODEX_HOME이 홈 디렉터리를 벗어날 경우 경고 발생두 도구 모두 100% 로컬에서 실행됩니다. 데이터는 어떠한 곳으로도 전송되지 않습니다. 네트워크 호출이 없습니다. .gitignore에 ai_history_export/를 추가하세요.
PR(Pull Request) 환영합니다! 새로운 도구를 추가하려면:
extract_<tool>()를 추가하고, EXTRACTORS에 등록합니다.discover_<tool>()를 추가하고, ALL_DISCOVERERS에 등록하며, RECIPES에 레시피를 추가합니다.MIT