무슨 일이 있었나
Adversa AI는 '암호화 컨텍스트 주입(Cryptographic Context Injection)'을 시연했다. 이는 명령어가 자체 복호화 단계와 함께 암호문으로 전송되는 프롬프트 주입 변형으로, 평문을 읽는 가드레일이 이를 감지하지 못한다. 자동 조종 모드의 Copilot CLI가 페이지를 가져와 자체 런타임에서 페이로드를 복호화하고, 로컬 .env.prod를 읽은 후 약 28초 만에 외부로 유출했다. mai-code-1.1-flash는 실행의 50%에서 체인을 완료한 반면, GPT-5.6 변형들은 이를 거부했다. GitHub는 보고서를 검증했지만 사용자가 가져오기를 지시하고 자율성을 부여했으므로 제품 취약점으로 취급하지 않는다고 밝혔다.
왜 중요한가
코딩 에이전트는 읽기/실행/네트워크 권한을 가지며 프로덕션 비밀들 사이에 존재하므로, 가장 가치 높은 프롬프트 주입 대상이다 — 그리고 암호문은 대부분의 팀이 의존하는 평문 특화 방어를 무력화한다. 일상적인 '이 페이지 읽어줘' 동작이 눈에 보이는 목적지 없이 조용히 28초 만에 비밀을 유출하는 행위가 된다.
공격 경로
사용자가 Copilot CLI에 공격자 통제 URL을 가져오도록 요청한다(일반적인 '이 페이지 읽어줘' 흐름). 페이지는 강력한 암호문과 키 자료, 자체 복호화 지시를 포함한다. 에이전트는 자체 런타임에서 Python을 실행하고, 로컬 비밀을 유도 키(decoy key)에 통합하며(그 읽기 자체가 절도 행위다), 그런 다음 실제 키를 사용해 2단계를 복호화하여 수집된 내용을 후속 요청을 통해 외부로 유출한다. 사용자에게 확인이나 목적지 호스트가 표시되지 않는다.
영향받는 시스템
GitHub Copilot CLI 자동 조종 모드 (기술/공개 2026년 10월; 관련 Copilot CLI 버그 CVE 2건 별도 수정: 0.0.423의 CVE-2026-29783 및 1.0.43의 CVE-2026-45033)
완화 방안
자동 조종 모드의 자율성을 제한하라 — 외부 네트워크 호출과 로컬 파일 읽기에 승인을 요구하고, 거부 규칙과 에이전트 훅을 사용하며, 에이전트가 자격 증명 파일에 접근하지 못하도록 샌드박스 처리하라. 비밀이 유효 범위에 있는 동안 에이전트가 신뢰할 수 없는 URL을 가져오지 않도록 하라. 정적 프롬프트 분류기는 암호문을 보지 못한다는 점에 유의하라 — 대신 에이전트 도구 호출, 파일 읽기, 외부 전송(egress)을 모니터링하라.