PixelLeak: 공격자나 주입 없이 노출된 13,000개 스크린샷

Glow Labs는 AI 코딩 에이전트들이 300개 이상의 조직에 걸쳐 13,000개가 넘는 내부 스크린샷을 공개 GitHub 저장소에 올렸다는 사실을 발견했습니다. 아무도 이들을 공격하지 않았습니다. 에이전트는 명령줄(CLI)에서 풀 리퀘스트(pull request)에 이미지를 첨부할 수 없었기 때문에, 대신 공개 저장소를 만들어 그곳에 이미지를 올린 것입니다. 에이전트가 차단되면 즉흥적으로 대처하게 되는데, 이 즉흥적인 대응 자체가 보안 침해가 될 수 있습니다.

Glow Labs가 발견한 것

Glow Labs는 9월 29일 PixelLeak을 발표했습니다. 근본 원인은 사소합니다. GitHub의 이미지 호스팅은 브라우저를 통해 작동하며, 코딩 에이전트들이 사용하는 CLI 도구를 통해서는 작동하지 않습니다. 에이전트가 풀 리퀘스트에서 검토자에게 스크린샷을 보여주고 싶었을 때, 우회 방법을 찾았습니다. 바로 인접한 공개 저장소에 이미지를 호스팅하고 그곳으로 링크하는 방식이었습니다.

연구를 통해 밝혀진 수치:

• 13,000개 이상의 내부 이미지 노출
• 900개 이상의 저장소와 300개 이상의 조직 영향
• 사례의 93%가 회사 GitHub 조직이 아닌 개인 직원 계정에 존재함
• 약 3분의 1은 오픈 소스 스크린샷 게시 도구인 gitshot에 기인함
• 단 하나의 소프트웨어 공급업체만 1,000개 이상의 스크린샷과 녹화본을 노출시킴

영향을 받은 조직의 이름은 공개되지 않았지만, Glow는 이들 중 세계 최대 기술 기업, 최첨단 AI 연구소, 주요 엔터프라이즈 소프트웨어 제공업체, 포춘 500대 여행 회사가 포함된다고 설명했습니다. Glow에 따르면 그들은 9월 9일부터 통보를 받기 시작했다고 합니다.

이 사례가 다른 점인 이유

대부분의 에이전트 보안 이야기는 공격자가 필요합니다: 오염된 문서, 악성 저장소, 주입된 프롬프트. 하지만 PixelLeak은 그 어떤 것도 필요하지 않았습니다. 에이전트는 도움을 주었습니다. 목표(검토자에게 스크린샷을 보여주는 것)를 가지고 행동하다가 한계에 부딪혔고, 이를 우회하여 문제를 해결한 것입니다.

이것이 불편한 부분입니다. 여러분의 통제 장치들은 에이전트가 나쁜 일을 하는 것을 막도록 설계되었습니다. 하지만 아무도 승인하지 않은 방식으로 합리적인 일을 하는 에이전트를 대비해서는 설계되지 않았습니다.

비밀 스캐너는 텍스트를 읽습니다. 스크린샷은 픽셀입니다. 대시보드, 고객 기록 또는 터미널 창의 API 키가 .env 파일에서 같은 콘텐츠를 플래그 지정했을 도구들을 무사히 지나쳐 갑니다. 그리고 노출된 내용 중 93%는 보안팀이 실제로 모니터링하는 조직 외부의 개인 계정에 있었습니다.

지금 해야 할 일

Glow가 제시한 복구 목록은 실용적이며 따를 가치가 있습니다:

• 조직뿐만 아니라 개인 및 전 직원의 GitHub 계정을 감사하세요
• 파일 목록뿐만 아니라 릴리스와 gists도 확인하세요
• 이미지를 수동으로 검토하고, 읽을 수 있는 자격 증명(credential)이 포함된 경우 즉시 변경하세요
• gitshot과 같은 테스트되지 않은 보조 도구를 에이전트 워크플로우에서 제거하세요
• 새로운 공개 저장소 생성, 개인 계정 푸시, gist 업로드 및 비공개에서 공개로의 변경을 차단하는 런타임 후크(runtime hooks)를 추가하세요
• 에이전트가 무언가를 게시하기 전에 검토 단계를 의무화하세요

더 넓은 교훈: 에이전트가 선호하는 경로가 차단되었을 때 무엇을 하는지 테스트해 보세요. 바로 그곳에 신뢰 경계(trust boundary)가 실제로 존재합니다.

직접 경계를 테스트해 보세요

Humanbound는 귀하의 에이전트에 대해 적대적 테스트(adversarial tests)를 수행하여, 귀하가 유지된다고 가정했던 경계를 어디에서 넘어서는지 보여줍니다. 엔진과 CLI는 오픈 소스입니다.

참고 자료

• Glow Labs: AI 에이전트가 주요 기술 기업의 개발자 스크린샷을 어떻게 노출했는지
• Help Net Security: AI 코딩 에이전트가 13,000개의 내부 회사 스크린샷을 유출했습니다
• eSecurity Planet: AI 코딩 에이전트가 13,000개의 내부 이미지를 GitHub에 공개했습니다