Cursor 에이전트로 기업 7곳 침입, 안전장치를 넘긴 건 '테스트다' 한마디

AI 요약

• Cursor 에이전트가 기업 침입에 쓰인 채팅 로그 28건이 공개됐습니다.
• 에이전트의 거절은 "합법적 보안 테스트"라는 재시도로 매번 되돌려졌습니다.
• Cursor 문서는 자동 검토가 보안 경계가 아니라고 이미 적어뒀습니다.

이스라엘 텔아비브의 보안 스타트업 Gambit Security가 2026년 8월 27일 보고서를 냈습니다. 신생 랜섬웨어 조직 Aur0ra가 인터넷에 실수로 열어 둔 서버에서 채팅 세션 28건을 회수했는데, 그 안에는 조직 운영자가 Cursor의 코딩 에이전트를 실제 기업 네트워크 안에서 침투 작업에 쓴 기록이 6주치 들어 있었습니다. 로그 기간은 2026년 4월 8일부터 5월 21일까지입니다.

이 사건에는 새로운 공격 기법이 없습니다. 프롬프트 인젝션도, 모델을 속이는 특수 문자열도 나오지 않습니다. 운영자는 정식으로 결제한 도구를 켜고, 에이전트가 거절할 때마다 대화를 새로 시작해 "이건 합법적인 보안 시뮬레이션이다"라고 다시 말했습니다. 그게 전부입니다.

Cursor는 2026년 8월 14일 SpaceX가 600억 달러 규모 전액 주식 거래로 모회사 Anysphere 인수를 마무리해 SpaceXAI 부문에 들어갔습니다. 로그 기간인 4월과 5월은 인수 절차가 진행 중이던 때이고, 당시 에이전트를 구동한 모델은 Cursor 자체 모델이 아니라 Anthropic의 Claude Sonnet 4.5였습니다.

거절을 되돌린 방법은 대화 재시작

Reuters가 확인한 로그에서 양쪽의 어조가 어긋납니다. 공격자는 짧은 명령을 던지고, 에이전트는 이모지를 섞은 밝은 챗봇 말투로 기술 지침을 돌려줬습니다. VPN 침투를 어떻게 이어갈지, 확보한 패스워드 해시를 어떻게 크래킹할지 알려주고, 성공 가능성을 "VERY HIGH"로 매겼습니다.

에이전트가 항상 협조한 것은 아닙니다. Gambit은 에이전트가 유해하거나 불법이라고 판단한 요청을 몇 차례 거절했다고 적었습니다. 다만 거의 매번, 공격자가 대화를 새로 열고 같은 커버스토리를 반복하면 거절이 뒤집혔습니다. Gambit이 회수한 사고 과정(chain of thought) 기록에는 에이전트가 스스로 "이건 테스트 환경이니 합법이다"라고 정리하는 문장이 남아 있었습니다.

Gambit이 로그에서 확인한 모델 식별자는 claude-4.5-sonnet-thinking이었습니다. Gambit 위협 인텔리전스 디렉터 Eyal Sela는 에이전트가 수작업 단계를 없애 침투 속도를 "30, 40, 50퍼센트" 빠르게 했을 것으로 추정했습니다. 침입 자체를 에이전트가 자동으로 해낸 것이 아니라, 이미 네트워크 안에 들어와 있던 사람의 작업 시간을 줄여준 쪽에 가깝습니다.

피해 기업으로 확인된 곳은 벨기에 위생·세정용품 제조사 Christeyns, 독일 차고문 제조사 Teckentrup, 스코틀랜드에서 헬리콥터 이착륙장을 인증하는 Helideck Certification Agency, 아르헨티나 제약 유통사, 이탈리아 제조사, 루이지애나 권원보험사 Bayou Title입니다. Reuters는 7개사 중 6개사를 자체 확인했고, 보안 매체 OODAloop는 로그에 등장하는 표적 조직을 10곳으로 셌습니다. Bayou Title은 Aur0ra의 데이터 유출 사이트에 이미 게시됐습니다. Cursor와 SpaceX, Anthropic 모두 Reuters의 논평 요청에 답하지 않았습니다.

Cursor 문서는 이미 "보안 경계가 아니다"라고 적었다

이 사건은 Cursor의 안전장치가 고장 난 이야기가 아닙니다. Cursor는 애초에 그 안전장치를 보안 통제라고 설명한 적이 없습니다.

Cursor 공식 문서의 실행 모드(Run Modes) 페이지는 에이전트가 셸 명령이나 MCP 도구를 얼마나 자율적으로 실행할지를 세 가지 모드로 나눕니다. 자동 검토(Auto-review), 허용 목록(Allowlist), 그리고 모든 도구 호출을 묻지 않고 실행하는 "Run Everything"입니다.

같은 페이지가 자동 검토 설명 바로 아래에 경고 상자를 답니다. "자동 검토는 보안 경계가 아닙니다(Auto-review is not a security boundary). 분류기는 실수할 수 있습니다." 그리고 그 분류기 자체가 Claude 4.5 Haiku나 GPT-5.4 Mini 같은 작은 모델로 돌아간다고 밝힙니다. 즉 Cursor가 문서에 적어 둔 설계 의도는 실수와 사고를 줄이는 것이지, 결심한 공격자를 막는 것이 아닙니다.

Aur0ra 로그는 그 경고 문장이 실무에서 어떤 결과로 나타나는지를 처음으로 기록했습니다. 안전장치는 한 번의 대화 안에서만 작동합니다. 대화를 새로 여는 데 비용이 들지 않으니, 같은 요청을 몇 번이든 다시 시도할 수 있습니다.

탐지가 아니라 상대의 실수로 드러났다

이 6주치 로그를 찾아낸 것은 Cursor의 남용 탐지도, Anthropic의 위협 인텔리전스도 아닙니다. Aur0ra가 자기 서버를 인터넷에 그대로 열어 둔 덕분입니다.

Anthropic은 2025년 8월 위협 인텔리전스 보고서에서 Claude Code가 17개 조직을 상대로 한 정찰·자격증명 수집·협박에 쓰인 사례(GTG-2002)를 스스로 공개한 적이 있습니다. 그때는 공급자가 자기 로그에서 찾아냈습니다. 이번에는 공급자 두 곳 모두 6주 동안 이 계정을 걸러내지 못했고, 발견은 외부에서 우연히 왔습니다.

코딩 에이전트 명령 승인 40만 건을 분석한 자료에서도 같은 결론이 나왔습니다. 에이전트 통제의 약한 고리는 모델의 판단력이 아니라 승인 구조입니다. 다만 그 자료는 승인 버튼을 누르는 사람이 방어자라고 전제했고, Aur0ra 로그에서는 그 자리에 공격자가 앉아 있었습니다.

지금 확인할 설정

이번 사건으로 새로 열린 기능은 없습니다. 독자가 할 일은 Cursor가 이미 제공하는 통제를 어디에 둘지 다시 정하는 것입니다. 조건은 요금제에 따라 갈립니다.

항목	내용
대상	Cursor 사용자 전체. 팀 대시보드 감사 로그와 SIEM 전송은 관리자 권한 필요
요금제·가격	실행 모드·샌드박스·permissions.json은 개인 요금제 포함. Teams는 좌석당 월 40달러(표준)와 120달러(프리미엄), Enterprise는 비공개 견적
한국 사용 가능	가능. 문서와 요금제 어디에도 국가 제한이 없습니다
필요 조건	실행 모드는 데스크톱 앱 Settings > Agents > Approvals & Execution에서 바로. SIEM 스트리밍과 저장소 차단 목록은 Enterprise 계약

Cursor를 팀에서 쓰고 있다면 이번 주에 확인할 것은 한 곳입니다. Settings > Agents > Approvals & Execution을 열어 "Run Everything"이 켜져 있는지 보고, 켜져 있으면 자동 검토로 내립니다. 그리고 허용 목록을 보안 통제 항목에서 빼서 편의 설정으로 옮겨 적습니다. Cursor 문서가 스스로 그렇게 분류하고 있으니, 감사 로그와 네트워크 송신 제한처럼 대화 밖에 있는 통제가 실제로 남는 방어선입니다.