GitHub의 AI 에이전트가 안드로이드 앱 취약점 24건을 찾아내다

GitHub Security Lab 연구원 Kevin Stubbings는 랩의 오픈소스 Taskflow Agent 위에 taskflows라는 맞춤형 AI 기반 점검 워크플로를 구축해, 안드로이드 앱에서 20개가 넘는 취약점을 찾아 신고했다.

공개된 버그 중 두 건이 그 위험성을 잘 보여준다. Play 스토어에서 1천만 건 이상 다운로드된 내비게이션 앱 OsmAnd에서는, MapActivity라는 외부 노출(exported) 액티비티가 원래 내부 채널에만 국한되어야 할 intent extra를 그대로 받아들이고 있었다. 휴대폰에 설치된 어떤 앱이든, 별도 권한 없이도 이 extra를 이용해 악성 설정을 몰래 주입할 수 있었고, 여기에는 OsmAnd의 지도 타일 소스를 공격자가 제어하는 서버로 바꿔치기하는 것도 포함됐다. 이렇게 되면 공격자는 피해자가 불러오는 모든 타일의 정확한 좌표를 기록해 이동 경로를 재구성할 수 있으며, 사용자는 무언가 바뀌었다는 것을 전혀 눈치채지 못한다.

위키피디아 안드로이드 앱은 다른 문제를 갖고 있었다. 딥링크 처리기의 호스트명 검사가 전체 도메인을 비교하는 대신 endsWith()를 사용했다. 이 때문에 wikipedia:// 링크가 evil-wikipedia.org 같은 유사 도메인을 가리키더라도 앱의 WebView 안에서 그대로 로드될 수 있었고, 앱이 신뢰하는 맥락 안에서 공격자의 자바스크립트가 실행됐다. 앱의 쿠키 관리자에 있던 두 번째 결함 검사 로직 때문에 이 WebView는 피해자의 장기 세션 쿠키까지 가져올 수 있었고, 결국 링크 하나를 탭하는 것만으로 모든 위키미디어 프로젝트에서 통하는 토큰이 공격자 손에 넘어갔다.

Stubbings는 모바일 앱 전용으로 taskflows를 설계했는데, 모바일 진입점을 웹이나 데스크톱 진입점과 분리하는 단계를 추가하고, 일반적인 보안 프롬프트로는 놓치기 쉬운 confused deputy 문제나 안전하지 않은 브로드캐스트 같은 intent 기반 버그를 모델이 점검하도록 유도했다.

AI는 버그를 찾는 데는 뛰어났지만 그 심각도를 판단하는 데는 그만큼 뛰어나지 못한 것으로 드러났다. Stubbings에 따르면 모델은 하지 말라고 지시해도 계속 낮은 심각도의 문제를 심각한 것처럼 표시했고, 내부 저장소가 공격자가 조작 가능한 외부 저장소를 조용히 덮어써서 실제로는 작동하지 않는 익스플로잇처럼 보이는 경우처럼 완화 요인이 있는 사례에서는 실제 영향도를 잘못 판단하기도 했다. 따라서 모든 발견 사항은 모바일 앱을 잘 아는 사람의 검토를 거치기 전까지는 어디에도 쓰일 수 없다.

이 taskflows는 오픈소스로 공개되어 있으며 어떤 저장소에도 무료로 실행해볼 수 있지만, GitHub Copilot 라이선스가 필요하고 중간 규모 코드베이스 하나만 점검해도 프리미엄 모델 요청을 상당히 많이 소모할 수 있다.