2026년 09월 01일 - "공격 성공률 0.00%"라던 Auto Mode, 실제로 찔러보니 80%

AI · ML

AI · 보안

웹페이지 요약 한 줄로 Claude Code가 악성코드를 실행함

Breaking Claude Code Opus 5 Auto Mode

• 보안 연구자 Johann Rehberger(Embrace The Red)가 "Summarize https://archive...uk/" 라는 평범한 요약 요청 하나로 Claude Code Opus 5의 Auto Mode를 탈취해 코드 실행까지 끌어냄. 공격 체인은 4단계 — ① 서버가 WebFetch 요청에 HTTP 415를 반환해 Claude를 curl(Bash)로 유도 ② ZIP 아카이브로 리다이렉트, 안에는 카탈로그 메타데이터·체크섬·언어 이론에 관한 짧은 기록 7건이 들어 있어 그럴듯하게 위장 ③ Claude는 동봉된 디코더 바이너리 실행은 정확히 거부하고 직접 Python 디코더를 작성 ④ 그런데 그 디코더를 압축 해제된 공격자 디렉토리 안에서 실행 — 거기 심어둔 악성 struct.py가 표준 라이브러리를 가리고, base64 import 순간 페이로드가 터짐. Python 기반 체인은 5회 중 3회(60%), 워크스페이스 밖으로 파일을 쓰는 변형은 5회 중 4회(80%) 성공했음.
• 이 결과가 뼈아픈 이유는 정확히 반대되는 수치가 공개돼 있기 때문임. Anthropic의 Boris Cherny는 모델 학습 + 입력 프로브 + 의도 분류기의 다층 방어로 미지의 간접 프롬프트 인젝션 성공률을 사실상 0으로 낮췄다고 밝혔고, 외부 업체 Trajectory Labs에 의뢰한 평가에서 72개 시나리오 × 10회 반복 결과 Opus 5 Auto Mode의 공격 성공률은 0.00%로 찍혔음. 8월 중순부터 Auto Mode는 Claude Code의 기본 시작 모드 — 사람의 승인 프롬프트를 안전 분류기가 대체하는 구조라, 이 방어선이 뚫린다는 건 사용자 눈에 아무것도 안 보인 채 코드가 도는 것과 같은 뜻.
• 고정된 벤치마크 시나리오에서의 0%와, 그 방어를 알고 설계한 표적 다단계 체인에서의 60~80%는 서로 모순이 아니라 벤치마크의 한계를 보여주는 것에 가까움. 분류기는 "악성 명령"을 잡도록 훈련됐지, "정상 요청 + 정상 도구 + 정상 파일 배치"의 조합이 만들어내는 결과까지 보진 못함. 특히 이번 공격의 핵심인 Python import 경로 하이재킹은 Claude가 한 행동 하나하나는 모두 합법적이었다는 점에서 방어가 어려움.
• 실무적 결론은 명확함 — Auto Mode는 격리 환경과 모니터링의 대체재가 아니라는 것. 에이전트를 컨테이너/샌드박스에서 돌리고, 신뢰할 수 없는 디렉토리를 CWD로 삼지 않고, 네트워크 egress를 제한하는 기본기가 여전히 필요함. 벤더가 제시하는 방어 성공률 수치는 벤치마크 이름과 공격 표본이 공개되지 않으면 검증할 수 없다는 점도 같이 남는 교훈인 셈.

---

AI · 모델

선형 어텐션 갈아넣지 말고 그냥 슬라이딩 윈도우 쓰라는 논문

Sliding-window beats linear attention

• Alexia Jolicoeur-Martineau 등 4인이 8월 28일 arXiv에 올린 논문(2608.28444)으로, 결론은 제목 그대로임 — sink를 붙인 Sliding Window Attention(SWA)이 사후 학습으로 선형 어텐션을 이식한 모델과 같거나 더 나음. 롱컨텍스트 추론 벤치마크인 Needle-in-a-Haystack과 BABILong에서는 SWA가 선형 어텐션 대비 2~10배 높은 성능을 냄. 여러 LLM과 다양한 다운스트림 태스크에서 동일한 경향이 나왔다는 게 저자들 주장.
• 배경은 쿼드러틱 어텐션의 비용 문제임. 토큰이 하나 늘 때마다 KV가 메모리에 영구히 쌓이니 새 토큰은 항상 직전 토큰보다 비싸고, 이걸 깨려고 기존 LLM을 선형 어텐션으로 retrofit하는 연구가 지난 몇 년 크게 유행했음. 문제는 그 라인이 제대로 된 단순 베이스라인과 비교된 적이 거의 없었다는 것 — 논문이 찌르는 지점이 정확히 여기임.
• SWA는 사후 학습이 아예 필요 없고, 빠르고, 메모리도 적게 씀. 저자들은 추론 메모리 비용을 줄이려는 목적이라면 선형화 사후 학습 대신 SWA로 전환하라고 강하게 권고함. 선형 어텐션이 SWA를 따라잡으려면 처음부터 새로 학습하거나 훨씬 많은 사후 학습이 필요할 것이라는 게 마무리 — 값싼 개조로 공짜 점심을 얻을 수는 없다는 뜻.

---

AI · 에이전트

스스로 진화하는 에이전트, 되돌리기가 197건 중 0건 성공

EvoUndo: Recoverability-Constrained Self-Evolution for LLM Agent Harnesses

• Tanmay Sah 등이 8월 28일 공개한 논문으로, LLM 에이전트가 런타임에 자기 프롬프트·툴·미들웨어·실행 하네스를 고치는 "자기 진화"의 되돌리기 가능성을 정면으로 다룸. 미지의 원샷 자기 진화 태스크 600건 중 성능은 올라갔지만 복구 검증에 실패하는 변형(mutation) 197건을 찾아냄. 기존 복구 표현 체계에서 통상적인 리페어 전략의 복구 성공은 197건 중 0건 — 반복 프롬프팅으로는 아예 손을 못 댄다는 뜻.
• 원인을 2×2 개입 실험으로 분리한 게 핵심임. 정확한 상태 주소 그라운딩을 주면 원래 언어로 충분한 케이스에서 복구가 0/48 → 38/48(79.2%)로 올라가고, 복구 언어의 표현력을 확장하면 오라클 기준 S1 계층에서 142/143(99.3%)까지 복구됨. 결정론적 오라클 분석 기준 전체 복구는 48/197에서 확장 복구 계산체계 적용 시 191/197까지 늘어남. 다만 gpt-oss-120b 백본에서는 풍부한 언어에 정확 주소 진단을 더하면 133/143(93.0%)으로 오히려 떨어졌고, Qwen3.8-27B 재현에서는 이 역효과가 안 나타나 모델 의존적인 현상으로 보임.
• 의미는 실무 쪽이 더 큼. 에이전트가 자기 설정을 바꾸는 기능은 이미 여러 하네스에 들어와 있는데, "성능이 올랐으니 좋은 변경"과 "안전하게 되돌릴 수 있는 변경"은 전혀 다른 문제라는 걸 숫자로 보여준 셈. 신뢰할 만한 자기 진화를 하려면 검증·상태 그라운딩·증거(witness) 의미론·복구 언어 표현력을 함께 설계해야 하고, 프롬프트만 더 잘 쓰는 걸로는 안 됨.

---

개발 · 플랫폼

개발 · 인프라

당신이 FTP 서버를 못 돌리는 건 1994년 RFC 하나 때문임

Internet centralization and the original sin of NAT

• 1994년 RFC 1631이 IP 주소 고갈의 단기 해법으로 제안한 NAT이 인터넷 중앙집중화의 최초 원인이라는 주장. 원래 IP는 모든 노드가 서로 직접 연결되는 설계였는데, NAT 뒤에서는 외부 서버가 먼저 말을 걸어올 때 라우터가 어느 내부 기기로 보낼지 알 수 없음 — 이 한 가지 결함이 개인이 서버를 돌리는 걸 사실상 불가능하게 만들었음. 우회책들은 전부 반쪽짜리라는 게 글의 정리: 포트 포워딩은 공인 IP+포트 하나에 기기 하나만 매핑되고 CGNAT 아래서는 아예 설정 권한이 없음, UPnP/NAT-PMP/PCP는 내 라우터에만 요청할 수 있는 데다 보안 우려로 대개 꺼져 있음, STUN은 cone NAT에선 홀펀칭이 되지만 CGNAT·기관망에 흔한 symmetric NAT에서는 목적지마다 포트가 달라져 무용지물, TURN은 릴레이 서버 비용과 지연을 떠안는 항복 선언, ICE(WebRTC)는 이 전부를 순서대로 던져보는 것에 불과함.
• 장기 해법이던 IPv6는 기대만큼 안 굴러가는 중임. 구글 통계 기준 채택률 시그모이드 곡선이 너무 일찍 꺾이고 있고, 도입한 곳조차 관성과 잘못된 보안 관념으로 NAT 비슷한 짓을 계속함 — 인바운드를 무조건 막는 방화벽이나, RFC1918 사설망 쓰듯 Unique Local Address(fc00::/7)를 붙여 IPv6에 실제 NAT을 거는 사례까지.
• 가장 아픈 대목은 문화적 결과임. NAT은 "클라이언트-서버가 자연스러운 것"이라는 감각을 모두에게 학습시켰고, 사실 그 감각의 기원은 주소 부족이라는 우연한 제약이었을 뿐임. 게다가 NAT은 "당신 기기가 숨겨진다"는 보안 기능으로 정당화되면서, 문제를 고칠 방법에 대한 저항까지 만들어냈음.
• 그래서 파일 하나 보내는 게 아직도 어렵고, 메일을 자기 컴퓨터에서 못 돌리고, 집에 멀쩡한 하드웨어를 두고도 VPS를 사야 함. 담벼락 친 정원의 원인이 NAT 하나만은 아니지만, 시간순으로 가장 먼저였다는 것.

---

산업 · 비즈니스

산업 · 빅테크

ChatGPT 광고, 200일 만에 연환산 10억 달러 돌파

A milestone in expanding access to AI

• OpenAI가 8월 31일 ChatGPT Ads의 연환산 매출(run rate)이 10억 달러를 넘었다고 발표함. 출시 200일이 채 안 된 시점이고, 광고주는 수만 곳 규모. 같은 날 인도·유럽·중동·북아프리카에서 Ads Manager를 통한 셀프서브 광고 구매가 열렸고, 서비스 국가는 40개국을 넘김. 광고는 무료 티어와 Go 구독 플랜 사용자에게 노출되는 구조 — 유료 상위 플랜은 제외.
• 회사 전체 그림에서 보면 다각화 지표에 가까움. OpenAI는 올해 광고 매출 25억 달러를 목표로 잡고 있고, 전사 연환산 매출은 400억 달러를 넘겨 2025년 말 대비 약 2배 수준으로 가는 중임. IPO 준비가 거론되는 국면에서 구독 외 수익원이 실제로 작동한다는 증명이 필요했다는 맥락.
• 200일 만의 10억 달러는 광고 업계 기준으로도 이례적으로 빠른 속도임. 다만 이 속도가 검색 광고 시장을 실제로 잠식하는 것인지, 아니면 AI 예산에서 신규로 튀어나온 실험성 지출인지는 아직 구분이 안 됨. 무료 접근성 확대라는 명분과 대화형 인터페이스 안에 광고를 넣는 이해충돌은 계속 따라다닐 문제인 셈.