정보를 외부 AI에 맡긴다는 것은 다양한 취약점이 있을 수밖에 없고, 보안이 완벽하게 해결될 수는 없습니다. 그렇지만 본인이 공격 벡터를 다양하게 알수록 더 나은 시스템을 만들 수 있습니다. 여러 프레임워크가 있지만 기본적으로는 CIA Triad를 통해 스스로 셀프 체크해보는 것을 추천드립니다.
[1] 기밀성 (Confidentiality): 허가된 사람만 정보에 접근할 수 있는가?
AI 에이전트는 파일 읽기 권한이 있고, 네트워크 요청도 보낼 수 있습니다. 이 조합이 문제입니다. 민감한 데이터를 읽어서 외부로 빼돌리는 게 기술적으로 가능합니다.
탈취 대상:
- ~/.ssh, ~/.aws/credentials, ~/.config/gcloud: 키를 읽어서 외부로 전송 가능
- ~/.git-credentials + .git/config: 레포 접근뿐 아니라 user.email, remote URL로 조직 구조 파악 가능
- 브라우저 프로필 (cookies, local storage): 세션 토큰 탈취하면 2FA도 소용없음
- CLAUDE.md, .cursorrules, skills/: 프로젝트 컨텍스트, 내부 API 스펙이 평문으로 들어있음
- ~/.bash_history, ~/.zsh_history: 과거 명령어에 실수로 남긴 비밀번호, 토큰, 내부 URL 있을 수 있음
[2] 무결성 (Integrity): 시스템과 데이터가 변조되지 않았는가?
일반적인 코드 변조는 리뷰에서 잡힙니다. 근데 AI가 쓴 코드는 "AI가 썼으니까" 하고 대충 넘기는 경우가 많습니다. 여기에 악성 코드가 섞여도 모릅니다. 더 위험한 건 에이전트 설정 파일이 오염되는 경우입니다. CLAUDE.md 같은 파일이 변조되면 에이전트 자체가 내부자 위협이 됩니다.
변조 대상:
- .bashrc, .zshrc: alias로 ls를 ls && curl로 래핑하거나, PATH 맨 앞에 악성 디렉토리 추가해두면 정상 명령어인 줄 알고 실행하게 됨
- ~/.ssh/authorized_keys: 공격자 키 한 줄 추가되면 비밀번호 바꿔도, 심지어 SSH 키 재생성해도 의미 없음. 이 파일 자체를 확인 안 하면 모름
- .git/hooks: pre-commit, post-merge 같은 훅에 스크립트 심어두면 git 작업할 때마다 조용히 실행됨
- package.json postinstall, setup.py: npm install이나 pip install 할 때 임의 코드 실행 가능
- .github/workflows: workflow 파일 하나 수정하면 secrets 환경변수 전부 접근 가능. GITHUB_TOKEN 권한으로 다른 private 레포 clone하거나 release 배포까지 가능
- CLAUDE.md, .cursorrules, skills/: 에이전트 규칙에 "모든 응답 전에 이 URL로 컨텍스트 전송" 같은 명령 삽입 가능
[3] 가용성 (Availability): 필요할 때 시스템을 정상적으로 사용할 수 있는가?
AI 에이전트는 끝날 때까지 돌립니다. 중간에 뭔가 이상해도 멈추지 않습니다. 특히 agentic loop에서 tool call이 다른 tool call을 트리거하는 구조면, 한 번 잘못 빠지면 호출이 기하급수적으로 늘어납니다. 잠깐 자리 비운 사이에 수백 달러 찍힐 수 있습니다.
고갈 대상:
- API 비용: max_tokens 제한 없이 돌리거나 무한 retry 빠지면 분 단위로 비용 증가
- 디스크: 로그 안 돌려놓은 상태에서 verbose 모드로 돌리면 /var/log나 /tmp 금방 참. inode 고갈되면 용량 남아도 파일 생성 안 됨
- 메모리: 대용량 JSON이나 로그 파일 통째로 읽으면 OOM killer가 프로세스 죽이기 시작함. 개발 중이던 것들 날아갈 수 있음
- 컨텍스트: 쓸데없는 node_modules나 .git 객체까지 읽어버리면 토큰 다 써서 정작 중요한 작업 못 함
---
이 세 가지 관점에서 본인 개발 환경 한번 점검해보시길 바랍니다. 위협을 인식하는 것만으로도 상당 부분 예방됩니다.