Plugin4Shell: SHA Pinning 아래 숨겨진 AI 코딩 에이전트 공급망 버그

요약

Plugin4Shell 취약점은 AI 코딩 에이전트가 요청 검증과 실제 코드 체크아웃 간의 격차를 악용하는 공급망 버그입니다. 공격자는 Git 참조 해상도를 이용해 고정된 플러그인이 대신 악성 코드로 해결되도록 할 수 있습니다. 본문에서는 다양한 공격 변종과 에이전트별 패치 가이드라인을 제공합니다.

핵심 포인트

• AI 코딩 에이전트는 공급망 보안에 취약하다.
• Git 참조 해상도 악용이 핵심 공격 경로다.
• Claude Code, Codex 등 주요 AI 도구 영향을 받음.
• 엔지니어링 팀을 위한 실질적인 강화 체크리스트 제공.