Amazon Kiro 프롬프트 인젝션 취약점, Kiro Powers를 통해 민감한 데이터 유출 가능

사이버보안 연구자들이 Amazon Kiro의 취약점 세부 정보를 공개했습니다. Kiro는 AI 기반의 에이전틱(자율 행동형) 통합 개발 환경(IDE)으로, 프롬프트 인젝션(AI에게 악의적인 명령을 몰래 주입하는 공격)과 Kiro Powers를 통해 데이터 유출이 가능한 취약점이 발견됐습니다.

Mindgard에 따르면, 이 보안 결함은 CVE 식별자가 부여되지 않았으며 Windows 환경의 Kiro IDE 0.7.45 버전에서 동작합니다. 현재 IDE의 최신 버전은 1.0.337입니다.

"이 취약점은 공격자가 제어하는 저장소 콘텐츠가 Kiro 에이전트에 영향을 미쳐, 최종적으로 민감한 로컬 정보가 외부 엔드포인트로 전송되도록 할 수 있었습니다." — CMO(최고 마케팅 책임자) Fergal Glynn이 The Hacker News와 공유한 보고서에서 밝혔습니다.

Kiro Powers는 Model Context Protocol(MCP) 서버 설정, 스티어링 파일("POWER.md"), 훅(hooks), 맥락 지식을 묶어 일반 스킬보다 한 단계 더 나아간 기능입니다. 스티어링 파일은 AI 에이전트에게 어떤 MCP 툴을 언제 사용해야 하는지를 알려주는 일종의 "온보딩 매뉴얼" 역할을 합니다.

Mindgard에 따르면, 취약점 악용에는 사용자의 두 가지 행동이 필요합니다. 먼저 사용자가 폴더를 직접 여는 대신 File → Open Workspace From File 메뉴를 통해 악성 프로젝트를 워크스페이스 파일로 열어야 하고, 이후 에이전트에 메시지를 전송해야 합니다. 이 취약점은 신뢰된 워크스페이스와 신뢰되지 않은 워크스페이스 모두에서 재현 가능합니다.

이 조건이 충족되면, "사용자가 Kiro에 명시적으로 접근하거나 전송을 요청하지 않아도" 민감한 워크스페이스 데이터가 공격자에게 유출될 수 있습니다. 악용 난이도는 '낮음'으로 평가됐습니다.

이 결함이 주목받는 이유는, 사용자가 악성 프롬프트를 입력하거나 공격자가 제어하는 콘텐츠를 직접 참조하지 않아도 된다는 점입니다. 조작된 워크스페이스 파일이 열린 후에는 어떤 메시지를 보내든 취약한 흐름이 트리거됩니다.

"이 취약점은 공격자가 제어하는 프로젝트 콘텐츠가 명령으로 해석되고, 그 명령이 IDE 내 보안에 민감한 다른 작업에 영향을 미칠 때 발생합니다." — Mindgard

"신뢰 경계 실패는 전체 시퀀스에 걸쳐 발생합니다. 저장소에 포함된 콘텐츠가 에이전트에 영향을 주고, 에이전트는 민감한 로컬 정보를 읽은 뒤 보안과 관련된 IDE 설정에 해당 정보를 기록하며, 이후 IDE 기능이 변경된 설정을 네트워크 활동으로 전환합니다."

AI 개발 환경이 해석과 실행을 동일한 워크플로 안에서 처리하게 되면서, 저장소 파일이 모델에게 컨텍스트를 제공하는 동시에 에이전트가 파일을 읽고, 툴을 호출하고, 애플리케이션의 다른 기능을 활성화할 수 있게 됩니다. 이는 신뢰 경계 실패로 이어질 수 있습니다.

책임감 있는 취약점 공개(responsible disclosure) 절차에 따라, Amazon은 Kiro IDE 0.8.140 버전에서 해당 결함에 대한 수정을 적용했습니다. Amazon 대변인은 The Hacker News에 이렇게 밝혔습니다. "이 취약점 신고를 받은 직후, 1월 15일 Kiro IDE 업데이트에서 해당 문제를 해결했습니다. 늘 그렇듯이 고객 여러분께 최신 버전의 Kiro를 설치하여 보안 업데이트를 적용하실 것을 권장합니다."

이번 취약점은 Mindgard가 이전에 발견한 버그를 기반으로 합니다. 앞선 버그는 스티어링 파일 지시문이 로컬 정보를 Markdown 이미지 요청에 포함시켜 외부 서버로 전송하도록 유도할 수 있었습니다.

"스티어링 파일을 교묘하게 조작해 로컬 파일을 읽고 Markdown 이미지를 렌더링하도록 만들면, 공격자는 AI가 민감한 데이터를 외부 서버로 전송하게 강제할 수 있습니다." — Mindgard

Kiro에서 취약점이 공개된 것은 이번이 처음이 아닙니다. 2026년 6월, Amazon은 불충분한 접근 제어 결함(CVE-2026-10591, CVSS 점수: 8.8)을 해결했습니다. 이 취약점은 원격 비인증 공격자가 ".vscode/tasks.json" 또는 "~/.kiro/settings/mcp.json"과 같은 실행 민감 경로에 쓰기를 유발하는 조작된 명령을 통해 임의의 명령을 실행하고, 폴더 열기 시 자동 실행을 가능하게 할 수 있었습니다.

"Kiro가 읽는 웹 페이지에 숨겨진 명령을 심어두면, 공격자는 Kiro가 자체 MCP 서버 설정 파일을 덮어쓰게 만들어 개발자 PC에서 임의 코드를 실행할 수 있습니다. 사용자에게는 의심스러운 승인 프롬프트가 전혀 표시되지 않습니다. 개발자가 Kiro에 요청한 것은 정상적인 작업이었을 뿐입니다." — Intezer

이번 발견들은 AI 도구 전반에서 발견된 일련의 보안 이슈들을 배경으로 하고 있습니다.

• Windows용 OpenAI Codex CLI에서 web.run을 통한 프롬프트 인젝션을 악용해 일반적인 웹 검색을 내장 샌드박스 기능 외부에서의 은밀한 호스트 수준 명령 실행으로 전환할 수 있는 취약점 체인
• 간접 프롬프트 인젝션을 이용해 악성 실행 파일을 워크스페이스에 기록하고 실행하는 Cursor CLI의 원클릭 원격 코드 실행(zero-click RCE) 취약점
• Cursor, GitHub Copilot CLI, Google Gemini CLI, Windows용 Codex 앱에서 검색 순서 하이재킹(search order hijacking)으로 인해 발생하는 임의 코드 실행 취약점. 공격자가 신뢰할 수 있는 시스템 경로보다 앞서 현재 작업 디렉터리에 외부 의존성(예: "git.exe", "which.exe")과 동일한 이름의 악성 바이너리를 배치할 수 있습니다.
• Anthropic Claude Code(CVE-2026-35603), Cursor, Codex CLI, Google Gemini CLI에 영향을 미치는 취약점으로, 이 도구들이 신뢰하는 Windows 폴더("C:\ProgramData<application>")를 악용해 설정 파일("managed-settings.json", "hooks.json", "system-defaults.json", "config.toml")을 삽입하고, 낮은 권한의 공격자가 어떠한 프롬프트·경고·상승된 권한 없이 동일 머신의 다른 사용자 세션에서 자신의 명령을 실행하도록 허용합니다.
• Claude Code의 샌드박스 탈출 취약점(CVE-2026-25725, CVSS 점수: 7.7). 샌드박스 내에서 코드 실행 권한을 가진 공격자가 임의 명령이 담긴 훅(hook)을 포함하는 악성 ".claude/settings.json" 파일을 생성하고, 이후 Claude Code가 실행될 때 해당 명령이 기반 호스트에서 실행됩니다.
• Gemini CLI의 취약점들. 샌드박스된 공격자가 컨테이너 경계를 탈출해 호스트 시스템에서 임의 코드를 실행하거나 사용자의 Google OAuth 토큰을 탈취할 수 있습니다.
• Codex CLI 샌드박스의 취약점. 직접 또는 간접 프롬프트 인젝션을 통해 LLM 툴 호출 "apply_patch"가 작업 폴더의 .codex 디렉터리 내 파일을 생성·수정하도록 허용되어 신뢰 경계가 무너지고 호스트에서 명령 실행이 가능해집니다.
• NVIDIA NemoClaw의 취약점(CVE-2026-65105, CVSS 점수: 8.1). 피해자 PC에서 공격자가 제어하는 웹 페이지에 한 번 방문하는 것만으로 로컬 Ollama 모델 서버를 장악하고, 모델의 채팅 템플릿 안에 숨겨진 명령을 심어 이후 모든 대화에 적용되도록 할 수 있습니다.
• OpenClaw의 취약점. 플러그인·확장 프로그램·사용자 상호작용 없이 어떤 웹사이트든 개발자의 AI 에이전트를 완전히 제어할 수 있습니다. 이는 게이트웨이가 WebSocket을 통해 localhost 연결을 수락하는 기능을 악용한 것이며, 어떤 웹사이트든 localhost로 WebSocket 연결을 열 수 있습니다.
• Microsoft Visual Studio Code의 MCP 설치 다이얼로그 취약점(CVE-2026-41613, CVSS 점수: 8.8, 일명 Envade). 조작된 딥링크를 한 번 클릭하는 것만으로 개발자 시스템에서 전체 코드 실행이 가능하거나, MCP 툴 호출이 공격자의 계정을 통해 라우팅될 수 있습니다.
• Claude Desktop의 PromptFiction 취약점. 조작된 링크를 한 번 클릭하는 것만으로 AI 에이전트가 민감한 데이터 수집이나 임의 코드 실행 등 의도하지 않은 행동을 수행하도록 속일 수 있습니다.

"Kiro 취약점 발견은 특정 IDE나 특정 공개 프로그램을 넘어선 문제를 드러냅니다." — Mindgard

"AI 취약점은 모델 해석, 애플리케이션 로직, 툴, 설정, 외부 리소스 간의 상호작용에서 발생할 수 있어, 보다 명확하게 정의된 소프트웨어 결함을 위해 설계된 공개 프로세스로는 평가하기 어렵습니다."

"AI 시스템이 더 많은 툴을 갖추고 더 많은 애플리케이션 상태와 상호작용하게 됨에 따라, 취약점 공개 프로그램은 이를 발견하는 연구자들과 동일한 수준의 세부 사항으로 실행 경로를 평가해야 합니다."

(이 기사는 Amazon의 답변을 포함하기 위해 게재 후 업데이트됐습니다.)