스택핀치

AI 코딩 에이전트의 플러그인은 단순한 프롬프트 묶음이 아니다. 훅, 실행 파일, MCP 서버, 셸 명령을 포함해 사용자의 파일과 자격증명에 접근할 수 있다. 2026년 9월 17일 AIR Security가 공개한 Plugin4Shell 은 이 배포 경로의 핵심 안전장치인 커밋 SHA 고정을 우회한다. 검토한 커밋을 지정했는데도 공격자가 다른 코드를 설치하게 만들 수 있고, 백그라운드 자동 업데이트가 켜져 있으면 이미 설치한 플러그인도 사용자 조작 없이 바뀔 수 있다는 내용이다. 이 글의 목적은 공격 코드를 재현하는 것이 아니라, 지금 설치된 에이전트와 플러그인을 어떻게 확인하고 패치하며 권한을 줄일지 정리하는 것이다. AIR의 공개 내용과 OpenAI·Anthropic의 플러그인 문서를 2026년 9월 20일 확인했다. 현재 버전은 이미 패치 기준보다 높을 수 있으므로 아래 숫자는 “최소 안전 기준”으로 읽고, 실제 설치 버전과 최신 안정판을 함께 확인해야 한다. 핵심 요약: 먼저 버전, 그다음 플러그인 Claude Code: AIR에 따르면 2.1.179에서 수정됐다. claude --version 으로 확인하고 그 미만이면 즉시 업데이트한다. OpenAI Codex: AIR와 공개 수정 PR에 따르면 0.146.0에서 해결됐다. codex --version 으로 확인하고 설치 방식에 맞춰 최신 안정판으로 올린다. GitHub Copilot: AIR 공개 시점에는 수정판이 없었다. 비필수 마켓플레이스 플러그인을 중지하고 공급자 공지를 확인해야 한다. Gemini CLI: AIR는 해당 도구가 패치되지 않으며 후속 환경으로 이전하라고 설명한다. 남아 있는 설치와 자동 실행 경로를 우선 분리한다. 공통: 패치만으로 과거 노출 여부를 알 수는 없다. 설치 목록, 업데이트 기록, 비밀정보 접근 흔적도 함께 검토한다. Plugin4Shell은 무엇을 우회했나 마켓플레이스는 보통 플러그인 저장소의 특정 커밋 SHA를 기록한다. 검토 당...