어제 믿었던 도구가 오늘 악성 코드가 되는 MCP 러그 풀

(dev.to)

AI 에이전트의 도구 연결 표준인 MCP의 확산과 함께, 설치된 코드는 변하지 않더라도 실행 시점에 도구의 기능과 설명을 동적으로 변경하여 에이전트를 공격하는 'MCP 러그 풀'이라는 새로운 보안 위협이 등장했습니다.

이 글의 핵심 포인트

1"MCP 러그 풀"은 패키지 코드는 동일하지만 실행 시점의 도구 정의(Manifest)를 변경하는 공격 방식임
2기존 SCA(Software Composition Analysis) 도구로는 탐지가 불가능한 새로운 유형의 보안 위협
3공격자는 도구 설명(Description)을 조작하여 AI 에이전트가 위험한 인자를 전달하도록 유도함
4MCP 서버의 동적 매니페스트 업데이트 기능이 공격의 주요 경로로 활용될 수 있음
5실행 중인 MCP 서버의 도구 목록과 권한을 정기적으로 감사(Audit)하는 프로세스 필요

이 글에 대한 공공지능 분석

왜 중요한가?

기존의 정적 분석 도구는 설치 시점의 코드 무결성만 검증할 뿐, 실행 중 발생하는 API 표면의 변화를 감지하지 못하기 때문입니다. 이는 AI 에이엇가 신뢰했던 도구의 설명을 근거로 의도치 않은 파괴적 명령을 실행하게 만드는 치명적인 보안 허점을 만듭니다.

어떤 배경과 맥락이 있나?

Anthropic의 MCP와 같이 AI 에이전트가 외부 데이터와 도구에 접근할 수 있게 하는 프로토콜이 급격히 확산되면서, 개발 편의성과 보안 사이의 새로운 트레이드오프가 발생하고 있습니다. 특히 동적 매니페스트 업데이트를 허용하는 MCP의 특성이 공격자에게 새로운 기회를 제공하고 있습니다.

업계에 어떤 영향을 주나?

AI 에이전트 기반 서비스를 구축하는 스타트업들은 단순한 라이브러리 보안을 넘어, 런타임 시점의 도구 권한과 설명(Description)에 대한 검증 로직을 반드시 도입해야 합니다. 이는 AI 에이전트의 신뢰성(Reliability)과 보안(Security)이 제품의 핵심 경쟁력이 될 것임을 시사합니다.

한국 시장에 어떤 시사점이 있나?

글로벌 오픈소스 MCP 서버를 적극 도입하는 국내 AI 스타트업들은 '설치 시점의 보안'이라는 안일한 사고에서 벗어나, 실행 중인 에기 에이전트의 도구 사용 패턴을 모니터링하고 권한을 제한하는 '런타임 보안 가드레일' 구축을 우선순위에 두어야 합니다.

이 글에 대한 큐레이터 의견

MCP 러그 풀은 AI 에이전트 시대의 새로운 '공급망 공격 2.0'을 예고합니다. 과거의 공격이 악성 코드를 직접 심는 방식이었다면, 이제는 AI의 '판단 근거'가 되는 텍스트(도구 설명)를 조작하여 에이전트를 조종하는 '프롬프트 주입형 공급망 공격'으로 진화하고 있습니다. 이는 개발자들에게 매우 까다로운 과제입니다.

창업자들은 AI 에이전트의 자율성을 높이면서도 보안을 유지하기 위해, 도구의 권한을 최소화하는 '최소 권한 원칙(Principle of Least Privilege)'을 MCP 환경에 맞게 재정의해야 합니다. 단순히 라이브러리 버전을 고정하는 것을 넘어, 런타임에 변경될 수 있는 도구의 스키마와 설명을 검증하고, 위험한 파라미터(예: shell command 실행 가능성)가 포함된 변경사항을 차단하는 자동화된 가드레일 구축이 필수적인 생존 전략이 될 것입니다.

원문 보기 →