보안업체 매니폴드 시큐리티(Manifold Security)가 클로드 코드(Claude Code), 코덱스(Codex), 커서(Cursor)를 포함한 커맨드라인 AI 코딩 에이전트 7종에서 보안 결함 8건을 발견해 공개했다. 문제는 저장소 자체의 Git 설정 파일이 개발자 PC에서 실행할 명령어를 지정하고, 에이전트가 이를 그대로 실행한다는 점이다. 이 명령은 에이전트의 샌드박스 밖에서 사용자 권한으로, 승인 절차 없이 곧바로 돌아간다. 공격이 성립하려면 저장소가 .git 디렉터리를 그대로 유지한 채 파일 형태로 전달돼야 한다. 공유 압축파일이나 공유 드라이브, 동기화 폴더, USB로 옮겨진 경우엔 이 조건이 충족되지만 일반적인 git clone 방식으로는 성립하지 않는다. 8건 중 4건은 매니폴드가 9월 1일(현지시각) 재테스트했을 때도 여전히 패치되지 않은 상태였다.

core.fsmonitor, 에이전트가 켜지는 순간 명령을 실행한다

core.fsmonitor는 변경된 파일을 식별하기 위해 Git이 실행하는 명령어를 지정하는 Git 성능 설정값이다. Git은 이 값을 저장소 자체의 .git/config 파일에서 읽어온다. git status나 git diff처럼 인덱스를 갈아주는 어떤 작업도 이 명령을 실행시킨다.

AI 코딩 에이전트들은 세션을 시작할 때 자신이 어느 브랜치에 있는지, 어떤 파일이 바뀌었는지 파악하기 위해 백그라운드에서 이 명령들을 호출한다. 저장소의 설정 자체는 건드리지 않은 채로다. 매니폴드는 이 발견을 깃스폰(GitSpawn)이라는 이름으로 공개하며 8건 중 5건을 상세히 기술했고, 이름을 밝히지 않은 더 많은 에이전트에서도 같은 패턴을 확인했다고 전했다. 매니폴드는 “취약점은 모델이나 새로운 무언가에 있는 것이 아니다. 에이전트가 세션 시작 시 자신의 위치를 파악하려고 실행하는, 그 아래 평범한 배관(subprocess)에 있다”고 밝혔다.

클로드 코드와 허메스 에이전트(Hermes Agent)에서는 워크스페이스 신뢰(trust) 프롬프트가 수락되기 전에 이 명령이 실행된다. 큐원 코드(Qwen Code)에서는 사용자 인증 전에, 그록 빌드(Grok Build)에서는 첫 키 입력 시점에 실행된다.

구스·클로드 코드·커서는 패치 완료…4곳은 재테스트에도 뚫려

패치가 나온 것은 구스(goose), 클로드 코드, 커서 세 곳이다. 반면 허메스 에이전트, 큐원 코드, 그록 빌드, 그리고 클로드 코드의 두 번째 경로는 9월 1일(현지시각) 재테스트에서도 여전히 저장소가 지정한 명령을 실행하고 있었다.

영향받은 버전은 제품별로 다르다. 구스는 1.44.0 이전 모든 버전이 해당하며 1.44.0에서 수정됐다. 코덱스 CLI는 0.102.0부터 0.130.0까지, macOS용 코덱스 데스크톱은 260202.0859부터 26.513.31313까지, 윈도우용 코덱스 데스크톱은 26.304.38부터 26.513.40821까지(마이크로소프트 스토어 패키지는 26.304.38.0부터 26.513.4821.0까지) 영향을 받았고 모두 후속 버전에서 수정됐다. 클로드 코드는 2.1.193에서 확인돼 core.fsmonitor 경로는 2.1.196에서 고쳐졌지만, claude ultrareview 경로는 2.1.252에서도 여전히 살아 있는 것으로 확인됐다. 허메스 에이전트는 0.18.2와 0.21.0에서, 큐원 코드는 0.19.6과 0.22.3에서, 그록 빌드는 0.2.93과 1.0.13에서 각각 문제가 확인됐고 세 곳 모두 수정은 아직이다.

구스의 사례는 goose review 명령이 Git을 호출할 때 -c core.quotePath=off라는 설정 플래그 하나만 붙이고 나머지는 그대로 둔다는 점에서 문제가 드러났다. 깃허브(GitHub)는 이 결함에 CVE-2026-72718을 부여하고 CVSS 4.0 기준 7.0점을 매겼다. 이는 매니폴드가 공개한 발견 중 유일하게 점수가 매겨진 사례다. 프란시스코 로살레스(Francisco Rosales)의 이름이 이 권고문에 함께 올라갔다. 권고문은 “악성 저장소 안에서 goose review를 실행하면 제출된 프롬프트나 모델 호출, 도구 승인, 신뢰 프롬프트 없이 공격자 코드가 실행된다. 이 명령은 구스가 모델과 접촉하기도 전에 실행된다”고 설명했다.

오픈AI도 코덱스에서 별도 CVE 3건 발표…클로드 코드는 승인 없이 재발

오픈AI(OpenAI)는 같은 날 코덱스에서 동일한 유형의 결함을 다루는 CVE 3건을 자체적으로 공개했다. 세 건 모두 서로 무관한 세 연구 그룹의 공로로 인정됐다. 오픈AI는 CVE-2026-19592 기록에서 “헬퍼는 코덱스의 명령 샌드박스 밖에서, 사용자 승인 프롬프트 없이 실행돼 공격자가 제어하는 코드가 사용자 권한으로 실행되도록 허용한다. 이 코드는 사용자 파일을 읽거나 바꾸거나 지울 수 있고 사용자 계정이 접근 가능한 다른 자원에도 접근할 수 있다”고 설명했다.

클로드 코드를 둘러싼 상황은 더 복잡하다. 매니폴드는 core.fsmonitor 관련 발견을 6월 26일(현지시각) 신고했고 6월 29일(현지시각) 2.1.196에서 수정됐다고 밝혔다. 다만 이 신고는 같은 날 앞서 접수된 다른 신고의 중복으로 처리됐다. 앤트로픽(Anthropic)은 이 건에 대한 별도 권고문을 내지 않았고, The Hacker News는 9월 2일(현지시각) 기준 npm 패키지에 대한 앤트로픽의 공개 권고문 기록이 두 클로드 코드 사례 중 어느 쪽도 다루지 않는다는 점을 확인했다.

claude ultrareview 명령을 통해 도달하는 두 번째 경로는 매니폴드가 구체적인 Git 설정 키를 공개하지 않은 상태다. 매니폴드는 이 문제를 9월 1일(현지시각) 2.1.252 버전에서 확인했는데, 당시 최신 배포판은 2.1.258이었다. 이후 배포판에서 이 문제가 해결됐는지는 어떤 소스에서도 확인되지 않았다.

보안업체 소나(Sonar)는 지난 4월(현지시각) 같은 취약점 경로를 보고하면서 앤트로픽이 이를 막기 위해 시작 순서를 이미 한 차례 바꾼 적이 있다고 언급했다. 소나는 같은 유형의 신뢰 대화상자 우회를 1.63.1 이전 버전의 비주얼 스튜디오 코드(CVE-2021-43891), 2021.3.1 이전 버전의 젯브레인스(JetBrains) IDE(CVE-2022-24346)에서도 확인한 바 있다고 밝혔다. 소나는 “2.0.34 버전에서 클로드는 사용자가 신뢰 대화상자를 승인하기 전에 더 이상 git status를 실행하지 않도록 수정됐다. 그러나 관련 문제는 계속 남아 있었다”고 설명했다. 2.0.34는 2025년 11월 5일(현지시각) 배포됐고, 매니폴드는 2026년 6월 25일(현지시각) 배포된 2.1.193에서 같은 시작 동작이 다시 나타났다고 보고했다. 앤트로픽은 앞서도 클로드 코드에서 신뢰 승인 전 코드 실행 결함을 공개한 적이 있으며, 6월에 발행한 CVE-2026-55607 권고문은 워크트리(worktree) 작업 중 git fsmonitor 실행 문제를 다루고 있다.

“모델의 문제 아니다”…저장소 열기 전에 점검해야

매니폴드가 신고한 8건 중 5건은 다른 연구자가 독립적으로 제출한 신고와 중복으로 처리됐고, 그중 하나는 같은 날 접수된 것으로 확인됐다. 알리바바(Alibaba)의 보안 대응 센터는 7월 7일(현지시각) 큐원 코드 신고를 접수했다. The Hacker News는 9월 2일(현지시각) npm 레지스트리를 통해 매니폴드가 재테스트한 0.22.3이 현재 공개된 최신 버전임을 확인했다.

letsdatascience.com은 매니폴드 보고서가 밝힌 미해결 상태가 버전별로 다르게 나타난 것이며, 모든 제품의 모든 설치본이 지금 영향을 받는다는 의미로 읽어서는 안 된다고 짚었다. 저장소를 clone이 아니라 파일 형태로 통째로 건네받는 팀이라면, 에이전트로 폴더를 열기 전에 신뢰할 수 없는 Git 메타데이터를 먼저 점검하는 것이 실질적인 대응책이라고 전했다. 도구 제작사 입장에서는 백그라운드 Git 호출 전에 저장소 설정값을 정제(sanitize)하는 방식으로 노출을 줄일 수 있다고 덧붙였다. 이 연구는 언어모델의 추론 능력이 아니라 로컬 프로젝트 파일을 둘러싼 공급망 경계의 문제를 드러낸 사례로 정리됐다.