AI 코딩 도구 확장이 백도어가 됐다: Cursor 마켓플레이스 Claude Code 확장 사고, 회사는 설치 경로·자동 업데이트·키에서 무엇을 정하나

AI 코딩 도구를 쓰는 회사는 확장 프로그램을 어디서 받는지, 자동 업데이트를 누가 켜고 끄는지, 개발자 PC에 어떤 키가 남아 있는지를 정해 두어야 합니다. Cursor는 2026년 10월 29일 자사 VS Code 확장 마켓플레이스에 Anthropic의 Claude Code 확장을 악의적으로 고친 버전(2.1.312, 2.1.313)이 약 11시간 올라와 있었다고 공지했습니다. 이 버전은 Anthropic이 만든 것이 아니었고 설치한 macOS·Windows PC에서 시스템 정보를 공격자 서버로 보내고 공격자의 SSH 키를 심어 원격 접속 통로를 만들려 했습니다. 이름이 맞는 확장이라도 받은 경로가 다르면 다른 코드일 수 있다는 뜻입니다.

Cursor는 무엇을 공지했나

Cursor 공지에 따르면 악성 버전은 미국 태평양시 기준 10월 29일 오전 2시 27분부터 오후 1시 35분까지 Cursor의 확장 마켓플레이스에 있었습니다. 이 확장은 정상 기능보다 먼저 실행되어 호스트 이름, 사용자 이름, 운영체제, 홈 디렉터리 경로, 환경 변수 이름, 작업 디렉터리, Git 이메일, 공인 IP를 모아 보냈습니다. 이어 공격자의 SSH 공개키를 authorized_keys에 넣고 SSH 서비스를 켜고 역방향 SSH 터널을 열려 했습니다. macOS에서는 LaunchAgent, Windows에서는 예약 작업으로 이 터널을 계속 다시 열도록 심었습니다.

Cursor는 SSH 서비스를 켜려면 관리자 권한이 필요해서 대부분의 PC에서는 그 단계가 실패했다고 밝혔습니다. 다만 키 추가, 지속 실행 설치, 시스템 정보 전송은 이뤄졌으므로 해당 버전을 받은 PC는 모두 정리하라고 했습니다. Cursor는 악성 버전을 내리고 마켓플레이스 전체를 멈춘 뒤 다른 확장이 바뀌지 않았는지 감사했고 키를 교체하고 마켓플레이스를 다시 만들어 열었습니다. 공지는 다른 버전이나 공식 배포본이 영향을 받았다는 증거는 없다고 적었습니다. 악성 버전이 어떻게 마켓플레이스에 올라갔는지는 공지에 나오지 않습니다.

영향을 받은 PC에서는 무엇을 해야 하나

Cursor가 영향을 받은 PC에 대해 낸 조치는 일반 침해 대응과 같습니다. 공지에 첨부한 스크립트로 영향 여부를 확인하고, 실행 흔적이 있는 PC는 격리하고, 확장 삭제만으로는 부족하니 심어진 키와 지속 실행 스크립트를 지우고, 그 PC에서 접근할 수 있던 자격 증명과 세션을 안전한 다른 기기에서 교체하라는 것입니다. 공지는 환경 변수 이름만 모았더라도 백도어를 통해 나중에 자격 증명에 접근했을 가능성을 배제할 수 없다고 적었습니다.

AI 코딩 도구를 쓰는 회사는 무엇을 정해야 하나

코딩 에이전트 확장은 개발자 계정 권한으로 코드 저장소, 터미널, 환경 변수에 닿습니다. 그래서 확장 하나가 바뀌면 그 PC가 열 수 있는 모든 것이 위험해집니다. 이번 사고에서 회사가 미리 정해 둘 수 있었던 것은 세 가지입니다. 어느 마켓플레이스에서 어떤 게시자의 확장만 받을지, 새 버전을 바로 받을지 며칠 두고 받을지, 개발자 PC에 운영 키를 두지 않을지입니다.

표의 어느 칸도 특정 제품을 고르라는 뜻은 아닙니다. 같은 확장도 받는 경로가 여럿일 수 있으니 회사가 허용한 경로를 문서로 남기는 것이 출발점입니다.

다른 앱이 코딩 에이전트 설정을 바꾼 신고: Postman 플러그인 자동 설치

사고는 마켓플레이스 바깥에서도 납니다. 2026년 10월 25일 Postman 공식 이슈 저장소(postmanlabs/postman-app-support #14370)에 올라온 신고에 따르면, macOS에서 Postman 데스크톱 12.33.4를 실행한 뒤 사용자가 고르지 않은 Postman 플러그인이 Codex와 Claude Code에 설치됐습니다. 신고자가 올린 Postman 로그에는 이 설치가 기존 사용자 자동 업그레이드 경로로 기록돼 있었습니다. Codex 설정에는 Postman 마켓플레이스와 세션 시작 훅이 추가됐는데, 이 훅은 Postman을 부르지 않은 일반 API 설계·구현·테스트 작업에서도 Postman 스킬을 먼저 불러오라고 지시했습니다. 설치 코드가 자기 훅을 신뢰 목록에 직접 등록하려 한 흔적도 있었다고 신고자는 적었습니다.

신고자는 데이터 유출을 주장하지 않았고 깨끗한 Mac에서 재현하지도 않았습니다. 11월 4일 확인한 시점에 이슈는 열려 있었고 Postman 담당자의 답은 보이지 않았습니다. 그래도 회사가 볼 점은 분명합니다. 코딩 에이전트의 플러그인, 훅, MCP 연결은 그 에이전트를 직접 설치하지 않은 다른 앱도 바꿀 수 있고 그렇게 바뀐 지시문은 에이전트가 무슨 도구를 먼저 쓸지를 정합니다. 허용 목록은 확장 마켓플레이스뿐 아니라 개발자 PC의 에이전트 설정 파일까지 대상으로 잡아야 합니다.

AI 에이전트 구축 업체에 물을 질문

• 업체 개발자는 어떤 코딩 도구와 확장을 어느 마켓플레이스에서 받아 쓰나요? 버전은 고정하나요?
• 고객사 키와 데이터가 업체 개발자 PC에 남나요? 남는다면 어디에, 언제까지 남나요?
• 납품 코드와 함께 의존성·확장 목록을 받을 수 있나요?
• 공급망 사고가 나면 몇 시간 안에 알리고 어떤 키를 교체하나요?
• 에이전트가 쓰는 운영 계정은 개발자 개인 계정과 나뉘어 있나요?
• 업체 개발자 PC의 코딩 에이전트 플러그인·훅·MCP 연결 목록을 정기적으로 점검하나요? 다른 앱이 이를 바꾸면 어떻게 알아채나요?

노벤티스는 어떻게 다루나

노벤티스는 AI 에이전트와 업무 자동화를 설계할 때 업무별 입력·출력·승인 규칙과 실패 시 사람에게 넘기는 조건을 먼저 정하고, 승인 없이 외부 발신·결제·삭제를 실행하는 자동화는 만들지 않습니다. 위 점검 항목은 Cursor 공지를 바탕으로 정리한 일반 보안 원칙이며 노벤티스의 특정 사례가 아닙니다. 첫 프로젝트는 접점 하나를 대상으로 4~8주 안에 PoC까지 진행하고 범위와 비용은 진단 미팅 후 서면 견적으로 정합니다.

이 글이 맞는 독자: Claude Code·Cursor 같은 AI 코딩 도구를 개발팀에 들였거나 들이려는 IT·보안 책임자, 외부 업체에 AI 에이전트 구축을 맡기는 회사입니다.