Git 파일이 악용되면 Claude Code, Codex 및 Cursor에서 코드 실행을 유발할 수 있습니다.

해커 뉴스( *The Hacker News* )는 새로운 공격 클래스를 문서화했습니다: 코딩 AI 에이전트가 읽을 때 공격 코드를 실행하는 악의적인 .git 구성. 보안을 강화하기 위해 만들어진 도구들이 이제 공격 벡터로 전락했습니다.

사실

Hacker News는 2026년 9월 2일 새로운 공격 기법이 문서화되었다고 보도했습니다. Git 구성 파일(모든 저장소가 포함하는 .git/config)이 코딩 AI 에이전트가 저장소를 열거나 분석할 때 임의의 코드를 실행하도록 설계될 수 있다는 것입니다.

해당 에이전트에는 다음이 포함됩니다:

• Claude Code (Anthropic)
• Codex (OpenAI)
• Cursor (에이전트 IDE)
• 저장소를 인덱싱, 분석 또는 수정하기 위해 백그라운드에서 Git 명령을 사용하는 기타 도구

공격 벡터: Git은 구성에서 특정 지시문(훅, 별칭, 필터)을 허용하며, 이러한 지시문은 셸 명령을 실행합니다. 저장소를 « 인수」하여 분석, 커밋, 테스트 실행을 수행하는 AI 에이전트는 에이전트를 시작한 사용자의 권한으로 이러한 명령을 트리거합니다.

영향 대상

• Claude Code, Codex, Cursor 또는 로컬 Git 저장소를 조작하는 기타 에이전트를 사용하는 개발자
• 에이전트 AI가 공개 저장소를 클론하거나 분석하도록 허용하는 팀(외부 PR 검토, 오픈 소스 탐색, 이슈 분류)
• 제어되지 않은 저장소에서 AI 에이전트에 단계 실행을 위임하는 CI/CD

가장 위험한 시나리오: 공격자가 GitHub에 악성 저장소를 게시하고, 개발자가 에이전트에게 « 이 프로젝트 분석」을 요청하면 에이전트가 .git/config에 포함된 페이로드를 조용히 실행합니다. 이때 개발자가 읽을 수 있는 모든 리소스(SSH 키, 토큰, 개인 파일)에 접근할 수 있습니다.

중요성

이 공격 패밀리는 기존 서사에서 벗어납니다. 지금까지 코딩 AI 에이전트는 방어적 보강으로 제시되었습니다. 이들은 코드를 읽고 취약점을 감지하며 패치를 생성했습니다. 이제 공격 표면이 됩니다. 악성 코드는 사람이 실행할 필요가 없습니다. 에이전트가 Git 구성을 읽기만 하면 됩니다.

이 글에서는 침입 벡터로서의 AI 에이전트 확산도 추적합니다(서버의 DeepSeek, 세 조직을 침해한 Claude, 오용된 Azure DevOps MCP, Aurora 랜섬웨어가 페이로드 생성을 위해 사용한 Cursor). 여기서 새로운 점은 에이전트가 공격하는 것이 아니라 일상적인 구성 파일(아무도 읽지 않는 구성 파일)을 통해 공격당한다는 점입니다.

지금 해야 할 일

• 알려지지 않은 저장소를 에이전트가 분석하도록 두지 말고 정리하세요: 분석 전 .git/config에서 민감한 지시문(core.hooksPath, core.fsmonitor, 의심스러운 별칭)을 git config -file .git/config -unset-all로 제거하세요.
• 에이전트 실행을 격리하세요: 전용 컨테이너를 사용하고 SSH 키나 민감한 토큰을 마운트하지 마세요.
• CI/CD 워크플로를 감사하세요: 타 저장소를 조작하는 모든 에이전트는 일회용 환경에서 실행되어야 합니다.
• 패치 발표를 따르세요: Anthropic, OpenAI 및 관련 에이전트 개발사는 Git 러너를 강화해야 합니다.

기억하세요: 코딩 AI 에이전트의 보안은 프롬프트뿐만 아니라 에이전트가 조작하는 모든 아티팩트(Git 구성, 프로젝트 파일, 훅)에서도 결정됩니다. 알려지지 않은 저장소는 서명되지 않은 바이너리로 취급하세요. 샌드박스에서만, 절대 개발 PC에서 실행하세요.