무슨 일이 있었나
GhostAction — 도난된 GitHub 자격 증명을 사용하는 공급망 캠페인 — 2026년 10월 14-15일에 2단계를 진화시켰다 (GitHub가 1단계 워크플로우 주입을 차단한 지 일주일 후). 1단계는 이미 약 1,900개의 GitHub 계정과 30,000개 이상의 저장소를 탈취하여 CI에서 비밀 정보 (npm, PyPI, DockerHub, AI 제공자 키)를 가져오는 자격 증명 탈취 Actions 워크플로우를 실행했다. 2단계는 가짜 Font Awesome 'font' 파일 (실제로는 38줄의 Node.js 코드)을 66개 소유자의 94개 저장소에 심었고, 개발자가 VS Code에서 프로젝트를 열 때 .vscode/tasks.json의 'eslint-check'라는 작업을 통해 자동으로 실행되도록 연결했다. 사용자 이름/호스트 이름/환경 변수를 수집하고, 홈 디렉토리를 재귀적으로 검색하여 AWS 키, GitHub/npm/PyPI 토큰 및 Anthropic API 키를 찾고, cron 작업을 설치하며, Cursor 코딩 에이전트를 겨냥한 내장 지시문 — 에이전트에게 파일을 실행하라는 프롬프트 인젝션 스타일 지시문 — 을 포함한다.
왜 중요한가
이것은 AI 개발자 툴체인에 대한 직접적인 공격이다: AI 지원 IDE에서 저장소를 클론하고 여는 것만으로 페이로드가 트리거되며, AI 코딩 에이전트와 에이전트 파이프라인이 의존하는 자격 증명 저장소 (CLI/클라우드/SSH + AI 제공자 API 키)를 구체적으로 겨냥한다. 합법적으로 보이는 저장소를 클론하면 이제 개발자의 워크스테이션과 CI에서 공격자 코드가 실행되어 에이전트가 보유한 모델 제공자 및 클라우드 자격 증명이 노출된다. Cursor 지시문은 에이전트가 공격자가 심은 지시에 따라 행동하도록 속일 수 있음을 의미한다.
공격 경로
VS Code/Cursor에서 감염된 저장소를 클론하고 열면 .vscode/tasks.json 자동 시작 작업이 트리거된다; Cursor 에이전트에 대한 숨겨진 프롬프트 지시문이 실행을 강화한다; 1단계에서 탈취된 Actions 워크플로우가 CI 비밀 정보를 훔친다.
영향받는 시스템
VS Code / Cursor 코딩 에이전트 및 가짜 .vscode/tasks.json 'eslint-check' 작업이 포함된 저장소; 1단계에서 주입된 액션을 참조하는 GitHub Actions 워크플로우
완화 방안
10월 8일 이후 클론된 저장소의 .vscode/tasks.json 및 .github/workflows를 검토하라; 깨끗한 장치에서 먼저 GitHub 토큰을 폐기하라 (감염된 머신에서가 아닌), 그런 다음 AWS 키, npm/PyPI 토큰 및 AI 제공자 키를 순환하라; 워크플로우 승인을 요구하고 Actions를 커밋 SHA로 고정하라.