코딩 에이전트 차단 모니터, 시도의 79%에서 임의 bash 실행 허용 — Auto Mode·Guardian 레드팀 결과

코딩 에이전트의 위험한 행동을 실행 직전에 막는 '블로킹 모니터'(Claude Code의 Auto Mode, OpenAI Codex의 Guardian)를 대상으로 한 레드팀 연구가 공개됐다. 연구진은 에이전트가 스스로 생성한 프롬프트 인젝션, 다중 에이전트 공격, 악성 컴팩션(대화 압축 조작) 같은 고수준 전략을 적대적 에이전트에게 지시했고, 시도의 79%에서 임의 bash 명령 실행에 성공했다고 보고했다. 도구 커버리지 확대와 트랜스크립트 포맷 개선으로 방어가 강화되긴 했지만, 여러 컨텍스트에 걸친 공격을 감당 가능한 비용으로 막는 것은 여전히 미해결 문제라는 결론이다.

실무에서는 "에이전트 앞단에 차단 분류기를 붙였으니 안전하다"는 전제를 그대로 두면 안 된다는 뜻이다. 에이전트가 도는 실행 환경 자체를 샌드박스·최소권한 자격증명·네트워크 이그레스 제한으로 감싸, 모니터가 뚫렸을 때의 피해 반경을 설계 단계에서 줄여야 한다.

출처: arXiv cs.CR