계정 탈취 및 스타 조작 통해 유명 프로젝트를 토큰 스틸러 유포지로 오염
악성 파이썬 스크립트가 드로퍼 역할... 백신 우회해 로컬 DB 잇는 MCP 설정까지 탈취

최근 AI 커뮤니티와 바이브코딩 진영에서 뜨거운 관심사 중 하나인 AI 기반 숏폼 비디어 생성 프로젝트를 위장한 해킹 공격이 진행돼 보안 생태계에 비상이 걸렸다. 개발자의 신뢰도를 역이용한 오픈소스 공급망 공격으로 인해 사용자들의 핵심 인증 토큰과 모델 컨텍스트 프로토콜(MCP) 설정 정보가 외부로 유출되는 사태가 발생했다.

[출처: gettyimagesbank]

8일 보안 업계와 개발자 커뮤니티에 따르면 ‘pierrenade/short-video-generator-AI’ 레포지토리 소스코드 내에 악성 스크립트가 은밀하게 삽입된 정황이 확인됐다. 공격자들은 개발자들이 별다른 의심 없이 프로젝트를 신뢰하도록 깃허브 스타 수를 부풀리거나 유명 프로젝트를 탈취해 안전한 코드처럼 위장하는 기만전술을 펼쳤다.

사용자가 레포지토리를 클론해 실행하면, ‘src/fs.py’와 같은 내부 정상 파이썬 스크립트가 진입점(Dropper 및 Stager) 역할을 수행해 숨겨진 2차 악성 페이로드를 시스템 메모리 등에 해제하고 실행시키는 공격 체인을 완성했다.

이 같은 공급망 드로퍼 방식은 일반적인 악성 실행 파일(EXE)과 달리 백신(Anti-Virus) 프로그램이 탐지하기 어렵다. 정상적인 파이썬 프로젝트 소스코드 내부에 악성 로직을 교묘하게 분산시켜 두었기 때문에, 개발자가 코드를 일일이 검수하지 않는 한 감염 사실을 인지하기 힘들기 때문이다.

드롭되어 동작을 시작한 최종 악성 페이로드(Infostealer)는 실행 환경의 환경 변수(.env) 파일과 MCP 설정값, 그리고 오픈AI와 앤트로픽 등 주요 거대언어모델(LLM) 서비스의 API 토큰을 수집해 외부 C2 서버로 무단 전송한다.

또, 유출된 토큰은 무단 결제와 인프라 오남용 피해로 이어진다. 이번 공격은 단순한 API 키 탈취에 그치지 않고, AI 모델과 로컬 시스템 및 데이터베이스를 직접 연결하는 핵심 통로인 MCP 설정까지 통째로 빼돌린다는 점에서 파괴력이 극대화됐다. MCP가 털리면 단순 과금 피해를 넘어 개발자가 사용하고 있던 환경 전체가 2차 해킹 타깃으로 전락한다.

이번 사건은 1300개라는 높은 스타 수가 결코 오픈소스의 안전성을 보장하지 않는다는 ‘신뢰도 착시 현상’의 위험성을 적나라하게 보여준다. 해당 프로젝트를 한 번이라도 실행한 이력이 있는 개발자라면 연동된 모든 AI 서비스 API 키를 즉시 폐기(Revoke)하고, 로컬 환경 변수와 MCP 설정을 전면 교체하는 긴급 조치가 필요하다.

김동현 크리밋 대표는 이번 사태에 대해 “최근 공격자들은 가성비가 높은 API 키와 비인간 신원(NHI)을 노리는 공격 전략을 적극적으로 취하고 있다”며 “모든 키는 언제든 유출될 수 있다는 제로트러스트 전제하에 최소 권한 부여와 엄격한 지출 한도 설정을 필수적으로 적용해야 한다”고 분석했다. 이어 “외부의 신뢰할 수 없는 코드는 반드시 격리된 환경에서 테스트를 한 뒤 사용해야하고, 유출된 키는 즉시 폐기하는 ┖API 키 보안 위생┖ 정착이 시급하다”고 말했다.

출처 : 보안뉴스(https://www.boannews.com)