커서, 클로드 코드 악성 확장의 출발점으로 파이어웍스 지목…노출된 키로 작업 기록 복사했다

AI 코딩 도구 커서(Cursor)가 클로드 코드 악성 확장 사건의 출발점을 외부 AI 인프라 업체 파이어웍스(Fireworks AI)로 지목했다. 커서가 발급해 준 접근 키가 파이어웍스 쪽에서 노출됐고, 공격자는 이 키로 과거 코딩 에이전트 작업 기록을 복사했다. 기록 속에 지워지지 않은 자격 증명이 남아 있었고, 이것이 내부 도구 침투와 확장 프로그램 변조로 이어졌다. 커서는 11월 13일(현지시각) 사고 업데이트에서 이런 경위를 밝혔다.

읽기 전용 저장소 키 하나가 열어 준 길

커서에 따르면 공격자는 파이어웍스가 노출한 커서 발급 접근 키로 ‘읽기 전용’ 저장소에서 데이터를 복사했다. 커서가 파이어웍스와 데이터를 공유하려고 쓰던 곳이다. 이곳에는 대부분 2025년에 만들어진 제한적인 코딩 에이전트 기록(트레이스)이 있었다. 프라이버시 모드를 쓰지 않은 세션의 기록으로, 커서가 모델 학습에 쓸 수 있도록 허용받은 데이터였다.

문제는 일부 기록에 비밀 정보가 가려지지 않은 채 남아 있었다는 점이다. 소수의 기록에 담긴 자격 증명이 커서가 쓰는 일부 SaaS(구독형 소프트웨어) 도구로 들어가는 통로가 됐다. 커서는 업데이트에서 “It started at Fireworks”라고 적었고 “The key was exposed by Fireworks”라고 못 박았다. 사고 전반에 대해서는 “우리가 저장·공유한 데이터, 우리가 발급한 자격 증명, 우리가 운영하는 시스템이 얽힌 사건”이라는 취지로 설명했다.

공격자는 해당 도구에서 보관 처리된 비프로덕션(실서비스가 아닌) 소스 저장소 일부에 접근했다. 일부 저장소에는 업무용 연락처 정보가 들어 있었다. 이 밖에 제한적인 고객 지원 데이터와 이메일 대화, 제품 사용 지표와 연락처, 일부 코딩 에이전트 대화 요약, 이용자가 지원팀에 보낸 자격 증명도 접근 대상에 포함됐다.

노출 범위는 얼마나 되나

커서가 제시한 비율은 두 가지다. 프라이버시 모드를 쓰지 않은 이용자 가운데 코딩 에이전트 기록이 노출된 사람은 0.05% 미만이었다. API 자격 증명이 노출된 고객은 0.01% 미만이다. 커서는 영향받은 이용자를 직접 식별해 개별 통보했다고 밝혔다. 사이버시큐리티뉴스(Cybersecurity News)는 두 수치가 사고의 서로 다른 부분을 가리키며 악성 코드를 설치한 사용자 수가 아니라고 짚었다.

영향을 받지 않은 영역도 분명히 했다. 현재 고객 데이터와 실시간 트래픽, 진행 중인 추론 요청, 프라이버시 모드의 프롬프트와 코드는 피해를 입지 않았다. 서비스를 돌리는 프로덕션 시스템과 고객 코드 저장소도 영향이 없었다. 노출된 기록은 과거 데이터를 오프라인으로 분석하는 용도의 저장소에 한정됐다.

공식 앱 업데이트와 클라이언트·클라우드에 배포되는 코드도 안전하다고 커서는 설명했다. 릴리스 코드는 공격자가 접근하지 못한 별도 호스팅 시스템에 있고 릴리스 서명 키도 노출되지 않았다는 것이다. 다만 앞서 클로드 코드 설정 파일에 API 키가 그대로 저장돼 공개 저장소에 올라간 사례가 집계된 것과 달리, 이번 사건은 업체 간 공유 데이터에 남은 비밀 정보가 출발점이다.

10월 29일 악성 클로드 코드 확장이 풀린 과정

공격자는 10월 29일 내부 노출 데이터에서 훔친 자격 증명을 이용했다. 커서의 VS 코드 확장 마켓플레이스를 서비스하는 캐시에 승인되지 않은 빌드를 직접 올렸다. 앤트로픽은 이 빌드를 게시하지 않았고 앤트로픽 제품의 취약점도 아니라고 커서는 밝혔다. 상위 마켓플레이스인 오픈VSX(Open VSX)도 악성 코드를 배포한 적이 없다. 사이버시큐리티뉴스는 이 내용이 오픈VSX에 악성 패키지가 올라갔다는 앞선 보도를 바로잡는 것이라고 설명했다.

커서는 특정 캐시 버전을 요청한 이용자 최대 5,000명이 약 11시간 동안 악성 빌드를 받았을 가능성이 있다고 추정했다. 사이버시큐리티뉴스에 따르면 대상 패키지는 윈도우와 맥OS용 Anthropic.claude-code 2.1.312와 2.1.313이다. 이 매체는 5,000명이 잠재적 배포 규모일 뿐 백도어 연결이 5,000건 성공했다는 뜻은 아니라고 강조했다.

이 매체의 기술 분석에 따르면 주입된 자바스크립트는 확장이 로드될 때 클로드 대화 없이 실행됐다. 호스트 정보를 수집하고 ‘svc-telemetry’라는 이름의 SSH 키를 추가한 뒤 역방향 SSH 터널(외부에서 내부 기기로 들어오는 연결 통로)을 시도했다. 맥OS에서는 런치에이전트, 윈도우에서는 예약 작업과 시작 폴더 대체 수단으로 지속성을 확보했고 약 60초마다 재접속을 시도했다. 커서는 코딩 오류와 관리자 권한 부족 탓에 대부분의 호스트에서 원격 로그인이 막혔다고 밝혔다. 다만 다른 악성 변경이나 호스트 정보 수집까지 막지는 못했다.

커서의 대응과 파이어웍스 쪽 설명

커서는 10월 30일 침해 지표와 복구 안내를 공개했다. 앱 내 메시지와 이메일로 영향받은 이용자와 팀 관리자에게 알렸고 자격 증명이 노출된 경우 교체할 키 목록을 관리자에게 전달했다. 해당 키를 발급한 외부 서비스에는 폐기를 요청했다. 이상 활동은 자체 모니터링 시스템이 포착했다. 커서는 증거가 요구하는 것보다 많은 내부·제품 서비스를 예방 차원에서 일시 중단해 일부 기능이 영향을 받았고, 검토 후 하나씩 복구했다고 밝혔다.

벤더 관계는 사실상 끊었다. 모든 추론 트래픽을 파이어웍스에서 옮기고 발급한 키를 비활성화했으며 공유하던 모든 데이터셋 접근도 차단했다. 노출이 확인된 자격 증명은 모두 교체했다. 노출 증거가 없더라도 내부 시스템 전반의 자격 증명을 예방 차원에서 추가로 교체했다. 서비스 제공업체 전반에 네트워크 제한을 넓히고, 코드 저장소와 내부 데이터 소스에 비밀 정보 스캔을 도입했다. 프로덕션 인프라를 재배포하고 외부 포렌식 전문가도 투입했다. 확장 마켓플레이스는 다른 모든 확장을 검증하고 점검한 뒤 재구축했다.

파이어웍스는 보안 공지에서 다른 경로를 설명한다. 연구개발 장비를 호스팅하던 제3자 클라우드 업체에서 10월 23일 보안 사고가 있었고, 10월 24일 권한 없는 주체가 개발 장비에 접근해 무단 워크로드를 실행했다는 내용이다. 파이어웍스는 당일 이를 탐지했고 10월 25일 이후 고객 플랫폼에 대한 추가 성공 접근은 발견하지 못했다고 밝혔다. 다만 조사는 진행 중이다. 팰로앨토 네트웍스의 유닛 42(Unit 42) 지원으로 자격 증명 교체와 접근 통제 강화를 마쳤고, 배치 추론과 데이터셋 기반 학습에 쓰던 셀프서비스 데이터셋 업로드·다운로드는 조사 기간 중 막았다.

남은 의문과 개발자가 할 일

두 회사의 설명은 아직 하나로 맞물리지 않는다. 포위크엠비에이(FourWeekMBA)에 따르면 11월 9일 갱신된 파이어웍스 공지에는 커서가 언급되지 않는다. 이 공지는 계정·결제 정보가 영향을 받았다고 적었고, 일부 계정에서는 비밀 정보와 데이터셋, 미완성 모델이 영향을 받았다고 밝혔다. 이 매체는 키가 언제 탈취됐는지 어느 쪽도 밝히지 않아, 10월 24일 파이어웍스 침입이 노출 시점인지는 확인되지 않는다고 짚었다. 커서의 원인 설명은 커서 자신의 것이며 파이어웍스가 이에 답한 적은 없다는 설명이다.

커서가 보는 사고 상황은 ‘봉쇄 완료’다. 마지막으로 관찰한 공격자 활동은 11월 1일이었고 이는 차단됐다. 이상 징후 모니터링은 계속된다. 파이어웍스 쪽 조사 결과는 아직 바뀔 여지가 있다.

해당 버전을 설치한 개발자라면 커서의 정리 안내를 따라야 한다. 사이버시큐리티뉴스는 확장만 지워서는 SSH 키와 시작 스크립트가 남을 수 있다고 경고했다. 커서는 엔드포인트 증거 확인, 영향받은 기기 격리, 지속성 항목 제거, 신뢰할 수 있는 시스템에서 접근 가능한 자격 증명 교체, 기기 재구축 필요성 판단을 권고했다.