- 보안 기업 HiddenLayer가 코인베이스가 선호하는 AI 코딩 도구인 Cursor를 악용하는 'CopyPasta License Attack'을 발견했습니다.
- 이 취약점으로 인해 악성코드가 코드베이스 전체에 침투하여 백도어를 삽입하고 민감한 데이터를 유출할 수 있습니다.
- AI 가 현재 회사의 코드 40% 를 작성한다고 밝힌 코인베이스 CEO 브라이언 애덤스가 반발을 사고 있으며, 향후 확대 계획을 발표했습니다.
코인베이스 CEO가 회사에 AI 도구 Cursor 사용을 강요했을 수 있지만, 사이버 보안 플랫폼 HiddenLayer에 따르면 이 움직임이 거래소를 위험에 처하게 할 수 있습니다.
코인베이스 개발자들이 가장 선호하는 AI 코딩 어시스턴트가 사이버 공격에 취약한 것으로 발견되었으며, 이는 숨겨진 악성 코드를 심어 전체 조직을 침해할 수 있다고 사이버 보안 회사 HiddenLayer의 새로운 보고서에서 밝혔습니다.
목요일 늦게 게시된 블로그에서 HiddenLayer는 이 공격이 'CopyPasta 라이선스 공격'으로 알려진 취약점을 통해 Cursor의 코드 편집기의 약점을 노출한다고 썼습니다. 이 방법은 겉보기에는 무해해 보이지만 일반적인 개발자 파일에 악성 지시를 삽입합니다.
HiddenLayer, CopyPasta 공격 발견
Cursor는 개발자가 코딩을 단순화할 수 있도록 지능형 자동 완성, 자동 코드 제안 및 실시간 오류 감지를 제공합니다. 그러나 소프트웨어가 명령을 자동으로 실행할 수 있는 자동 실행(Auto-Run) 모드에서 연구자들은 승인 없이 안전하지 않은 명령이 실행되는 것을 방지하려는 보호 장치를 우회하는 결함을 발견했습니다.
HiddenLayer는 CopyPasta 공격이 소프트웨어 라이선스 준수에 필수적인 Cursor 내의 시스템 프롬프트를 이용한다고 주장했습니다. 이 공격은 GPL 계약과 같은 라이선스 텍스트를 모방한 다음, README 마크다운 텍스트로 위장합니다.
이 공격은 마크다운 파일의 숨겨진 주석과 구문 기반 입력을 사용하여 악성 지시를 권위 있는 개발자 명령으로 가장합니다.
“악성 명령과 결합되면 CopyPasta 공격은 난독화된 방식으로 새 저장소에 자신을 동시에 복제하고, 그렇지 않으면 보안이 유지될 코드베이스에 의도적인 취약점을 도입할 수 있습니다.”라고 HiddenLayer는 공개 문서에서 밝혔습니다.
테스트 중 연구자들은 Python 파일의 시작 부분에 단일 코드 줄을 삽입하는 무해한 페이로드를 사용했습니다. 하지만 그들은 동일한 방법이 백도어 심기, 민감한 데이터 유출, 시스템 자원 소모 또는 프로덕션 환경 손상 등 보안 침해 시에도 사용될 수 있다고 경고했습니다.
연구자들은 이메일 에이전트가 스팸을 보내거나 데이터를 유출하면서 자신을 복제하는 방법을 보여주는 'Morris II' 공격과 같은 실험과 비교했습니다. Morris II는 이론적으로 높은 성공률을 보였지만, 이메일 시스템이 메시지를 보내기 전에 인간의 검토를 여전히 요구해야 했기 때문에 실제 적용에는 제한이 있었습니다.
HiddenLayer는 Windsurf, Kiro, Aider와 같은 다른 AI 코딩 어시스턴트들도 CopyPasta 취약점을 쉽게 감지되지 않는 방식으로 새 파일로 전파한다고 밝혔습니다. 이 취약점은 HiddenLayer와 보안 그룹 BackSlash가 각각 독립적으로 보고했습니다.
강력한 AI 코딩 압력下的 Coinbase 엔지니어들
어제 Cryptopolitan이 보도한 바에 따르면, 코인베이스(Coinbase) CEO 브라이언 아머스트롱은 거래소의 엔지니어링 팀이 대부분의 작업에 Cursor를 선호하는 도구로 사용하고 있으며, 내년 2월까지 '모든 코인베이스 엔지니어'가 이를 사용하도록 할 계획이라고 밝혔습니다.
회사의 수장은 8월 말 팟캐스트에서 Stripe 공동 창립자 John Collison에게 개발자들에게 GitHub Copilot과 Cursor 사용을 시작할 1주의 시간을 주거나, 직장을 잃게 될 것이라고 말했습니다.
“저는 반항적으로 전체 Slack 채널에 게시했습니다. AI는 중요합니다. 여러분 모두 AI를 배우고 최소한 온보딩해야 합니다. 훈련을 하기 전까지는 매일 사용할 필요는 없지만, 적어도 이번 주 말까지 온보딩해야 합니다. 그렇지 않다면, 이를 수행하지 않은 모든 사람과 토요일에 미팅을 가질 것이며, 왜 그러지 않았는지 이해하고 싶습니다.”라고 Armstrong은 추측했습니다.
수요일, 그는 X에 AI가 회사 코드의 최대 40%를 작성하는 데 책임이 있으며, 이 수치가 다음 달까지 50%로 증가할 것으로 예상된다고 게시했습니다.
코인베이스에서 작성되는 일일 코드의 약 40%가 AI로 생성됩니다. 10월까지 이를 50% 이상으로 끌어올리고 싶습니다.
— 브라이언 아머스트롱 (@brian_armstrong) 9월 3, 2025
물론 검토와 이해가 필요하며, 비즈니스의 모든 영역에서 AI 생성 코드를 사용할 수 있는 것은 아닙니다. 하지만 가능한 한 책임감 있게 활용해야 합니다. pic.twitter.com/Nmnsdxgosp
아머스트롱은 실리콘밸리에서 기업 워크플로우에 AI를 통합하는 가장 적극적인 지지자 중 한 명입니다. 하지만 엔지니어들이 AI 코딩 도구를 채택하도록 고집하는 그의 태도는 일부 커뮤니티 구성원들에게는 잘 받아들여지지 않습니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
