보안연구원들은구글(알파벳)의새로출시된AntigravityIDE에서심각한취약점을노출했으며,이AI기반코딩툴이출시된지24시간도채되지않아이러한문제가드러나인공지능제품의시장출시가서두른것에대한우려를불러일으키고있습니다.Knostic의보안연구원인AaronPortnoy는자신이Forbe에언급한바에따르면Gemimi엔진이적용된이개발플랫폼에서사용자의컴퓨터에지속적으로남는악성코드를설치하게만들수있는심각한결함을발견했습니다.해당취약점은Antigravity의“신뢰할수있는코드”버튼기능을악용하여,악성코드가프로젝트가다시시작될때마다백도어를다시로드할수있도록허용합니다.다수의공격벡터가식별됨이취약점은Antigravity의구성설정을조작하여Windows와Mac시스템모두에서작동했다고Portnoy가Forbes에전했다.공격을실행하려면공격자가사용자를설득하여악성코드를"신뢰할수있음"으로표시한후실행하도록해야하는데,이는흔한사회공학적전술이다.보안연구원JohannRehberger는11월25일게시된블로그포스트에서5가지개별보안문제를문서화했다.여기에는간접프롬프트주입을통한원격명령실행,브라우저에이전트를통한데이터유출,그리고보이지않는유니코드문자를사용하여삽입된숨겨진지시사항을따르는우려스러운기능이포함되어있다.Rehberger에따르면,이러한취약점들은2025년5월초에Google이약24억달러에라이선스한코드베이스인Windsurf에이미보고된바있다.Google은11월18일Gemini3모델과함께Antigravity를출시했다.회사는BugHunters페이지에서여러취약점을인정하며,데이터유출및프롬프트주입을통한코드실행을조사중인"알려진문제"로나열했다.11월26일기준으로보안패치는제공되지않았으며,Portnoy는취약점을방지할수있는구성을찾지못했다고보고했다.광범위한산업우려보안전문가들이설명하는바에따르면,이러한보안결함은AI제품들이적절한테스트없이시장에출시되는우려스러운패턴을강조한다.Knostic의공동창립자이자CEO인GadiEvron은Forbes에"AI코딩에이전트는매우취약하며,종종레거시기술에기반하고있고패치되지않았으며,운영요구사항으로인해설계상안전하지않습니다"라고말했다.취약점을분석한SimonWillison에따르면,공격벡터는Antigravity의브라우저도구를활용하는데,이도구는기본적으로webhook.site를포함한도메인의허용목록을사용하며,이는데이터유출에악용될수있는서비스이다.IDE는또한기본적으로.gitignore에있는파일에대한접근을거부하지만,연구자들은AI가.env자격증명파일과같은제한된파일에접근하기위한우회방법을찾을수있음을발견했다.AI기반도구전반에걸쳐18개의취약점을추적하고있는것으로알려진Portnoy의팀은현재AI보안상태를"1990년대후반의해킹현장"에비유하며,"AI시스템이상당한신뢰가정과거의강화된경계없이배포되고있다"고언급했다.Rehberger는문제가해결될때까지개발자들이대체IDE를고려하고Antigravity의기본"자동실행"기능을비활성화할것을권장했다.
474 조회
0 추천
2025.11.27 등록