OWASP, AI 에이전트 스킬 보안 위험 정리한 'AST10' 프로젝트 공개

무엇이 바뀌었나

OWASP(Open Web Application Security Project)가 AI 에이전트 스킬(agentic skills)의 보안 위험을 체계적으로 정리한 'OWASP Agentic Skills Top 10(AST10)' 프로젝트를 공개했다[1]. 이 문서는 2026년 1월부터 7월 사이 실제로 발생한 사건들을 근거로 스킬 계층에서 나타난 위협을 유형별로 문서화하고, 유니버설 스킬 포맷과 보안 체크리스트를 제안하는 형태로 구성돼 있다[1]. 문서 자체는 2026년 3월 최종 업데이트된 것으로 표기돼 있다[1].

Claude Code, Cursor/Codex, VS Code 등에서 실행되는 AI 코딩 에이전트는 SKILL.md, MEMORY.md, SOUL.md, AGENTS.md 같은 파일 형태로 스킬을 불러와 작업을 수행하는데, ClawHub이나 skills.sh 같은 레지스트리에서 이 스킬을 자유롭게 내려받아 쓸 수 있는 구조가 최근 몇 달 사이 공급망 공격의 통로로 확인됐다는 것이 이번 문서의 핵심이다[1].

어떤 사건들이 근거로 제시됐나

가장 규모가 컸던 사례는 1월 27일부터 29일까지 사흘간 벌어진 'ClawHavoc' 캠페인으로, 이 기간에만 341개의 악성 스킬이 ClawHub에 유포됐다[1]. 이 중 335개는 AMOS 악성코드를 배포했고, 전부 동일한 C2 IP 주소(91.92.242.30)를 공유했다[1]. 2월 4일에는 별도 조사에서 악성 스킬로 피해를 본 사용자가 6,000명 이상 확인됐고[1], 다음 날인 2월 5일 Snyk가 ToxicSkills 감사에서 3,984개 스킬을 점검한 결과 36%가 보안 결함을 포함하고 있었으며 13.4%는 치명적 수준으로 분류됐다[1]. 같은 조사에서 활성 악성 페이로드 76개가 확인됐고, 문서 발행 시점까지도 8개는 여전히 활성 상태였다[1]. Antiy CERT는 2월 최종 집계에서 12개 계정이 배포한 악성 스킬을 총 1,184개까지 확인했다[1].

레지스트리 바깥의 인프라 문제도 함께 드러났다. 3월 SecurityScorecard 조사에서는 공개적으로 노출된 OpenClaw 인스턴스가 135,000개 이상 발견됐고, 이 중 53,000개 이상이 과거 침해 이력과 연관돼 있었다[1]. BlueRock Security가 분석한 MCP 서버 7,000여 개 중에서는 36.7%가 SSRF(서버 측 요청 위조) 취약점 가능성을 가진 것으로 나타났다[1]. 6월 22일 Air Security가 진행한 연구용 악성 스킬 실험은 26,000개 이상의 에이전트에 도달했고, 이틀 뒤 'The Circus of Skills'라는 이름의 별도 스캔은 142,836개 스킬을 조사해 17,822개(12.4%)가 신뢰할 수 없는 외부 지시 출처를 갖고 있으며 이들의 총 설치 수가 약 670만 건에 달한다는 결과를 내놨다[1]. 7월 2일에는 'SkillJacking'이라는 이름으로 하이재킹 가능한 의존성 스킬 925개가 확인됐는데, 이 스킬들이 서비스하는 에이전트가 약 134,000개, 그중 탈취된 비디오 생성 스킬 하나의 설치 건수만 11,483건이었다[1].

취약점 자체도 여러 건 공개됐다. CVSS 8.7점의 CVE-2025-59536, 5.3점의 CVE-2026-21852, 그리고 'ClawJacked'로 불린 CVE-2026-28363은 9.9점을 기록했다[1]. OpenClaw는 2월 14일 로그 포이즈닝 취약점을 2026.2.13 버전에서 패치했고, ClawJacked는 발표 후 24시간 만인 2월 26일 2026.2.25 버전으로 대응했다[1]. ClawHub에서 다운로드 수 상위 7개 스킬 중 5개가 악성코드로 확인됐다는 점도 레지스트리 신뢰성 문제를 보여준다[1].

기업 실무에 미치는 영향

이 사건들이 시사하는 바는 스킬 레지스트리를 통한 설치가 사실상 외부 코드에 실행 권한을 넘기는 행위와 다르지 않다는 점이다. AI 코딩 에이전트를 사내 개발 워크플로에 붙인 조직이라면, 스킬·MCP 서버를 승인 없이 자유롭게 설치하도록 허용하는 정책을 다시 점검할 필요가 있어 보인다. 다운로드 순위가 높다는 사실 자체가 안전을 보장하지 않는다는 점—상위 7개 중 5개가 악성으로 확인된 사례—은 보안팀이 내부 화이트리스트나 서명 검증 절차를 마련하는 근거가 될 수 있다[1].

보안 통제를 어느 계층에 둘 것인가에 대한 논의도 함께 이어지고 있다. 개발자가 쉽게 수정할 수 있는 하니스 로직보다 런타임과 인프라 계층에서 최소 권한과 격리를 강제해야 한다는 NVIDIA의 주장이나, 인간 사용자 중심의 기존 접근제어 모델을 에이전트용으로 다시 설계해야 한다는 클라우드플레어의 AAM 제안은 이번 AST10 문서가 지적하는 문제의식과 맞닿아 있다. 스킬이 스스로 절차를 진화시키는 자기개선형 에이전트에서도 안전하지 않은 산출물이 만들어질 수 있다는 연구까지 함께 놓고 보면, 스킬 계층의 보안은 단일 취약점 패치보다 설치·실행·갱신 전 과정을 아우르는 정책 설계가 필요한 영역으로 보인다. 스킬·MCP 서버를 사전에 스캔하는 레드팀 도구의 도입 여부도 보안팀이 검토해볼 만한 대목이다.

규제 동향도 함께 살펴볼 필요가 있다. NIST 산하 CAISI는 2026년 1월 8일 관련 Federal Register RFI(정보 요청)를 발표해 3월 9일까지 의견을 받았는데, 이는 정부 차원에서도 에이전틱 AI 공급망 보안을 제도화하려는 초기 움직임으로 볼 수 있다[1].

불확실한 부분

문서에서 'Alice'로 지칭된 발견자가 개인 연구자인지 특정 조직명인지는 명확히 표기돼 있지 않다[1]. 또한 이 기사의 근거가 된 문서는 발행일과 별개로 '최종 업데이트: 2026년 3월'이라는 표기를 담고 있어, 실제 공개·갱신 시점이 정확히 언제인지는 추가 확인이 필요하다[1].