무슨 일이 있었나
TrendAI는 4개 주요 MCP 디렉토리에서 90,000개 이상의 고유 GitHub URL을 상태 점검했으며, 약 8%가 죽은 것으로 나타났고, 900개 이상이 삭제된 GitHub 계정을 가리켜 공격자가 단순히 재등록할 수 있음을 발견했습니다 — 익스플로잇이나 악성코드가 필요 없습니다. 하이재킹 가능한 항목 중 80개 이상이 사용자가 검색하는 잘 알려진 서비스(AWS, MySQL, PayPal, Shopify, Telegram, OpenAI, Gemini)의 이름을 사용하며, 하이재킹 가능한 표면의 4분의 1 이상이 상위 10개 클레임 가능한 계정에서 비롯됩니다. 디렉토리는 링크 상태를 일상적으로 검증하거나, 네임스페이스 변경을 감지하거나, 코드 무결성을 확인하지 않으며, AI 에이전트가 점점 더 자율적으로 MCP 서버를 설치함에 따라 이는 사용자를 속이는 공격에서 에이전트를 속이는 공격으로 이동합니다.
왜 중요한가
이것은 에이전트형 AI 스택에 특화된 자가 전파형 공급망 위험입니다: 단일 재등록된 GitHub 계정은 AI 에이전트가 자동으로 연결하는 신뢰할 수 있는 도구가 될 수 있으며, 에이전트의 컨텍스트에 지침을 주입하거나 OS/사용자 자격 증명(SSH 키, .env, AWS 자격 증명) 및 OAuth 토큰을 노출할 수 있습니다. MCP 서버가 LLM 뒤에 있기 때문에, 하나의 하이재킹된 서버는 전통적인 익스플로잇 코드 없이 교차 서비스 공격이 될 수 있으며, 이는 NSA AI 보안 센터의 MCP 설계 결함에 대한 권고와 일치합니다.
공격 경로
나열된 MCP 서버가 삭제된 GitHub 계정에 링크되어 있습니다; 공격자는 정확한 사용자 이름을 재등록하고 포크를 다시 게시하여, 여전히 이를 가리키는 모든 디렉토리 목록의 신뢰와 가시성을 상속받습니다. AI 에이전트(README를 컨텍스트로 파싱하고, 이름/설명을 일치시키며, 이전 소유자를 기억하지 못할 수 있음)가 서버를 설치/연결할 때, 공격자의 주입된 지침이나 도구가 실행됩니다 — 프롬프트 주입, 에이전트 환경에서의 임의 코드 실행, 뒤에 있는 LLM을 통한 교차 서비스 도구 남용이 가능합니다.
영향받는 시스템
MCP 서버 디렉토리(커뮤니티 목록) 및 이들이 참조하는 MCP 서버; 특정 소프트웨어 버전 없음 — 레지스트리/플랫폼 공급망 위험.
완화 방안
패치 없음(단일 패키지의 소프트웨어 취약점이 아님). 디렉토리 운영자와 CI 정책은 링크 상태를 검증하고, 네임스페이스 변경을 감지하며, 나열된 URL에서 코드 무결성을 확인하고, 변경 가능한 계정 이름 대신 불변 커밋/참조(예: git SHA)에 MCP 서버를 고정해야 합니다; AI 에이전트 설치 프로그램은 연결 전에 명시적인 인간 승인과 소유권/평판 확인을 요구해야 합니다.