코인베이스 AI 코딩 도구와 카피파스타 취약점 노출 완벽 분석

코인베이스의 AI 코딩 어시스턴트 분석을 통해 ‘CopyPasta’로 알려진 새로운 프롬프트 주입 취약점이 발견되었습니다. 공격자는 README.md 및 LICENSE.txt를 포함한 프로젝트 파일 내의 마크다운 주석에 악의적인 명령을 삽입합니다. 이 주석들은 AI 어시스턴트에 의해 권위 있는 것으로 처리되어 툴이 생성하는 모든 파일에 악성 코드를 복제하게 만듭니다.

이 익스플로잇은 AI 모델이 라이선스 및 문서 컨텍스트에 의존하는 점을 악용합니다. 초기 수집 후 어시스턴트는 코드 합성 단계에서 주입된 페이로드를 포함하여 악성 로직이 코드베이스 전체에 지속적으로 전파되도록 합니다. 연구자들은 단일 손상된 주석이 빌드 과정에서 백도어 삽입과 자격 증명 탈취로 이어질 수 있음을 입증했습니다.

코인베이스는 취약점 보고를 확인했으며 철저한 보안 검토를 진행 중입니다. 즉각적인 조치로 파일 입력값을 정화하고 마크다운 주석을 제거하며 AI 프롬프트 파이프라인에서 컨텍스트 검증을 구현하고 있습니다. 회사는 패치된 모델 배포를 계획 중이며 코드 어시스턴트의 안전한 사용을 위한 업데이트된 가이드라인을 공개할 예정입니다. 유사 공급망 공격을 방지하기 위한 외부 보안 감사도 진행 중입니다.