- 사이버 보안 회사인 HiddenLayer는 Coinbase가 선호하는 AI 코딩 도구인 Cursor를 악용하는 "복사 붙여넣기 라이선스 공격"을 발견했습니다.
- 이 취약점은 악성 소프트웨어가 코드베이스 전체에 조용히 확산되어 백도어를 삽입하고 민감한 데이터를 유출할 수 있도록 합니다.
- 코인베이스 CEO 브라이언tron인공지능이 회사 코드의 40%를 작성하고 있으며, 향후 확대할 계획이라고 밝힌 후 거센 비난에 직면했다.
코인베이스 CEO는 인공지능 도구인 커서(Cursor)를 회사에 도입하여 보안을tron했지만, 사이버 보안 플랫폼 히든레이어(HiddenLayer)에 따르면 이러한 움직임은 거래소를 위험에 빠뜨릴 수 있다고 합니다.
코인베이스 개발자들이 가장 선호하는 AI 코딩 도우미가 사이버 공격에 취약한 것으로 드러났으며, 이 공격으로 인해 숨겨진 악성코드가 심어져 조직 전체가 위험에 처할 수 있다고 사이버 보안 회사 히든레이어(HiddenLayer)의 새로운 보고서에서 밝혔습니다.
목요일 늦게 게시된 블로그 글에서 HiddenLayer는 이번 공격이 "CopyPasta License Attack"이라는 취약점을 이용해 Cursor 코드 편집기의 허점을 드러낸다고 밝혔습니다. 이 공격 방식은 겉보기에는 무해해 보이지만, 일반 개발자 파일에 악의적인 명령어를 삽입하는 방식입니다.
HiddenLayer가 CopyPasta 공격을 발견했습니다
Cursor는 개발자가 코딩을 간소화할 수 있도록 지능형 자동 완성, 자동 코드 제안 및 실시간 오류 감지 기능을 제공합니다. 그러나 소프트웨어가 명령을matic으로 실행할 수 있는 자동 실행 모드에서 연구원들은 승인 없이 안전하지 않은 명령이 실행되는 것을 방지하기 위한 보호 장치를 우회하는 결함을 발견했습니다.
HiddenLayer는 CopyPasta 공격 이 소프트웨어 라이선스 준수에 필수적인 Cursor 내 시스템 프롬프트를 악용한다고 주장했습니다 . 이 공격은 GPL 계약과 같은 라이선스 텍스트를 모방한 다음 README 마크다운 텍스트로 위장합니다
이 공격은 마크다운 파일의 숨겨진 주석과 구문 기반 입력을 이용하여 악성 명령어를 개발자의 공식적인 명령으로 위장합니다.
"CopyPasta 공격은 악의적인 지침과 결합될 경우, 난독화된 방식으로 새로운 저장소에 자체 복제될 뿐만 아니라, 원래는 안전했을 코드베이스에 의도적인 취약점을 도입할 수 있습니다."라고 HiddenLayer는 공개 자료에서 밝혔습니다.
연구원들은 테스트에서 파이썬 파일의 시작 부분에 한 줄의 코드를 삽입하는 무해한 페이로드를 사용했습니다. 그러나 그들은 동일한 방법이 백도어 심기, 민감한 데이터 유출, 시스템 리소스 소모 또는 운영 환경 손상과 같은 보안 침해 상황에서 사용될 수 있다고 경고했습니다.
연구진은 이를 예를 들어 이메일 에이전트가 스스로 복제하면서 스팸을 보내거나 데이터를 유출하도록 속일 수 있음을 보여준 "모리스 II" 공격과 같은 실험에 비유했습니다. 모리스 II 공격은 이론적으로 성공률이 높았지만, 이메일 시스템이 메시지 전송 전에 여전히 사람의 검토를 필요로 했기 때문에 실제로는 한계가 있었습니다.
HiddenLayer는 Windsurf, Kiro, Aider와 같은 다른 AI 코딩 도우미들도 CopyPasta 취약점을 새로운 파일로 전파하는데, 이러한 방식이 쉽게 탐지되지 않는다고 밝혔습니다. 이 취약점은 HiddenLayer와 보안 그룹 BackSlash가 각각dent으로 보고했습니다.
코인베이스 엔지니어들이 고강도 AI 코딩 작업에 몰두하고 있습니다
어제 의 Cryptopolitan , 코인베이스 CEO 브라이언 암스트롱tron거래소 엔지니어링 팀이 대부분의 작업에 커서를 선호하는 도구로 사용하고 있으며, 내년 2월까지 "모든 코인베이스 엔지니어"가 커서를 사용하도록 할 계획이라고 밝혔습니다. 보도 에 따르면
회사 대표는 8월 말 팟캐스트에서 스트라이프 공동 창업자 존 콜리슨에게 개발자들에게 깃허브 코파일럿과 커서를 일주일 안에 사용하지 않으면 해고될 것이라고 말했다.
“제가 독단적으로 전체 슬랙 채널에 글을 올렸습니다. AI는 중요합니다. 여러분 모두가 AI를 배우고 최소한 온보딩이라도 해야 합니다. 교육이 있을 때까지 매일 사용할 필요는 없지만, 적어도 이번 주말까지는 온보딩을 완료해 주세요. 만약 그렇지 않으면, 토요일에 아직 온보딩을 하지 않은 모든 분들과 회의를 할 예정인데, 왜 안 했는지 알아보기 위해 만나 뵙고 싶습니다.”라고tron은 추측했습니다.
수요일에 그는 X에 AI가 회사 코드의 최대 40%를 작성하는 데 기여했으며, 다음 달에는 그 수치가 50%까지 증가할 것으로 예상한다고 게시했습니다.
코인베이스에서 매일 작성되는 코드의 약 40%가 AI로 생성되고 있습니다. 10월까지 이 비율을 50% 이상으로 끌어올리고 싶습니다.
— 브라이언 암스trong (@brian_armstrong) 2025년 9월 3일
물론 검토와 이해가 필요하고, 모든 사업 영역에서 AI 생성 코드를 사용할 수 있는 것은 아닙니다. 하지만 가능한 한 책임감 있게 AI를 활용해야 합니다. pic.twitter.com/Nmnsdxgosp
tron은 실리콘 밸리에서 기업 업무 흐름에 AI를 통합하는 것을 가장 적극적으로 지지해 온 인물 중 한 명입니다. 그러나 엔지니어들이 AI 코딩 도구를 반드시 사용해야 한다는 그의 주장은 일부 커뮤니티 구성원들의 반감을 사고 있습니다.
이 글을 읽고 계시다면 이미 앞서 나가고 계신 겁니다. 뉴스레터를 구독하시면 더욱 유익한 정보를 받아보실 수 있습니다.
면책 조항: 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan이 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다.tron권장합니다dent .
플로렌스 무차이
플로렌스는 지난 6년간 암호화폐, 게임, 기술 및 AI 관련 뉴스를 취재해 왔습니다. 메루 과학기술대학교에서 컴퓨터공학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 쌓은 전문성은 그녀에게 언어, 관찰력, 기술적 역량을 충분히 갖추도록 해주었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 관련 미디어 매체에서 편집자로 활동했습니다.
