Claude Cowork가 사용자 파일을 외부로 유출함

3 weeks ago 6

Claude Cowork의 코드 실행 환경 취약점을 이용해, 공격자가 사용자의 파일을 자신의 Anthropic 계정으로 업로드할 수 있음
이 취약점은 Claude.ai 채팅 환경에서 이미 보고되었으나 수정되지 않은 상태로 Cowork에도 그대로 존재함
공격은 숨겨진 프롬프트 인젝션이 포함된 문서 파일을 통해 실행되며, Cowork이 이를 분석하는 과정에서 자동으로 파일을 외부로 전송함
인간의 승인 없이 Cowork이 공격자의 API 키를 사용해 Anthropic API를 통해 데이터 유출을 수행함
일반 사용자가 쉽게 노출될 수 있는 구조로, AI 에이전트의 보안 위험성과 프롬프트 인젝션 방어의 중요성을 드러냄

취약점 개요

Claude Cowork는 Anthropic이 공개한 일반 업무용 AI 에이전트 연구 프리뷰로, 인터넷 접근 기능을 포함함
PromptArmor는 Cowork의 코딩 환경에 남아 있는 미수정 취약점을 이용해 사용자 파일을 외부로 유출할 수 있음을 시연함
- 해당 취약점은 이전에 Johann Rehberger가 Claude.ai에서 발견해 공개했으며, Anthropic이 인지했으나 수정하지 않음
Anthropic은 Cowork 사용 시 “프롬프트 인젝션을 의심할 만한 행동에 주의하라”고 경고했으나, 비전문가에게는 현실적으로 어려운 요구로 지적됨
PromptArmor는 이 위험을 사용자에게 알리기 위해 공개 시연을 진행함

사용자가 기밀 부동산 파일이 포함된 로컬 폴더를 Cowork에 연결
사용자가 숨겨진 프롬프트 인젝션이 포함된 문서 파일(.docx) 을 업로드
- 문서는 ‘Skill’ 파일로 위장되어 있으며, 1포인트 흰색 글씨와 0.1 줄 간격으로 인젝션이 숨겨짐
사용자가 업로드한 ‘Skill’을 이용해 Cowork에 파일 분석을 요청
인젝션이 Cowork을 조작해 공격자의 Anthropic API 키를 사용한 cURL 요청을 실행, 사용자의 파일을 공격자 계정으로 업로드
- 인간 승인 절차 없이 자동 실행
- Claude의 VM은 대부분의 외부 네트워크를 차단하지만, Anthropic API는 신뢰 대상으로 통과됨
공격자는 자신의 Anthropic 계정에서 피해자의 파일을 조회하고 Claude와 대화 가능
- 유출된 파일에는 재무 정보와 부분적인 사회보장번호(SSN) 포함

위 공격은 Claude Haiku 모델에서 시연됨
Claude Opus 4.5는 인젝션 내성이 더 높지만, Cowork 환경에서는 간접 프롬프트 인젝션을 통해 동일한 파일 업로드 취약점을 악용할 수 있음
- 테스트에서는 사용자가 악성 통합 가이드를 업로드한 상황을 가정해 고객 기록이 공격자 계정으로 유출됨

Claude의 API는 파일 확장자와 실제 형식이 일치하지 않을 때 오류를 반복 발생시킴
- 예: .pdf 확장자를 가진 단순 텍스트 파일을 읽으려 하면 이후 모든 대화에서 API 오류 발생
이러한 오류는 간접 프롬프트 인젝션을 이용한 제한적 서비스 거부(DOS) 공격으로 악용 가능
- 잘못된 파일을 생성·업로드하도록 유도해 Claude 클라이언트와 Anthropic 콘솔에서 오류 알림 발생