커서(Cursor) 제로데이 전면 공개 — 벤더가 움직이지 않을 때 남는 마지막 선택지

AI 코드 에디터에서 터진 제로데이, 그리고 이례적인 '전면 공개'

요즘 개발자들이 가장 많이 쓰는 AI 코드 에디터 중 하나인 커서(Cursor)에서 제로데이 취약점이 공개됐어요. 제로데이가 뭐냐면, 아직 패치가 나오지 않은 상태의 취약점을 말해요. 방어 수단이 마련되기 '0일 전'이라는 뜻이죠. 그런데 이번 건에서 진짜 논쟁거리는 취약점 자체보다 공개 방식이에요. AI 보안 회사 마인드가드(Mindgard)의 연구진이 패치가 없는 상태에서 상세 내용을 공개하는 '전면 공개(full disclosure)'를 선택했거든요. 글 제목부터가 '전면 공개가 남은 유일한 보호 수단이 될 때'예요. 벤더와의 조율이 벽에 부딪혔고, 사용자를 보호할 남은 수단이 공개뿐이었다는 메시지인 거죠.

보안 업계의 룰: 책임 공개 vs 전면 공개

이게 뭐냐면, 보안 연구자가 취약점을 발견하면 보통 '책임 공개(coordinated disclosure)'라는 절차를 따라요. 벤더에게 먼저 조용히 알리고, 패치를 만들 시간(관례상 90일 정도)을 준 다음, 패치가 배포된 뒤에 상세 내용을 공개하는 방식이에요. 구글의 프로젝트 제로 같은 팀이 이 90일 룰을 사실상의 업계 표준으로 만들었죠. 반대로 '전면 공개'는 패치가 없는 상태에서 취약점을 그냥 공개해버리는 거예요. 언뜻 무책임해 보이지만 나름의 논리가 있어요. 벤더가 응답하지 않거나, 위험을 인정하지 않거나, 고칠 의지가 없을 때는, 사용자들이 위험을 모른 채 계속 노출되는 것보다 차라리 알려서 스스로 방어하게 하는 게 낫다는 거죠. 실제로 전면 공개는 벤더를 움직이게 만드는 가장 확실한 압박 수단이기도 해요.

AI 에디터는 왜 이렇게 자주 뚫릴까

커서의 보안 문제는 사실 이번이 처음이 아니에요. 2025년에만 해도 프롬프트 인젝션으로 원격 코드 실행까지 이어지는 CurXecute(CVE-2025-54135), 한 번 승인받은 MCP 설정을 몰래 바꿔치기하는 MCPoison(CVE-2025-54136) 같은 취약점이 줄줄이 나왔고, 워크스페이스 신뢰 기능이 기본으로 꺼져 있어서 악성 프로젝트 폴더를 여는 것만으로 코드가 실행될 수 있다는 지적도 있었거든요.

여기엔 구조적인 이유가 있어요. 프롬프트 인젝션이 뭐냐면, AI가 읽는 데이터 안에 몰래 명령을 심어놓는 공격이에요. AI 에디터의 에이전트는 여러분의 파일을 읽고, 터미널 명령을 실행하고, 외부 서버(MCP)와 통신할 권한을 갖고 있죠. 그런데 에이전트가 읽는 README, 소스 코드 주석, 웹 문서 어디에든 공격자가 지시문을 숨겨둘 수 있어요. '데이터'와 '명령'의 경계가 흐릿한 LLM의 특성상, 에이전트가 그 지시를 진짜 명령으로 받아들이면 여러분 컴퓨터에서 공격자의 코드가 실행되는 거예요. 기존 에디터에는 없던 완전히 새로운 공격 표면인 셈이죠.

업계 맥락: 속도전의 그늘

AI 개발 도구 시장은 지금 그야말로 속도전이에요. 몇 주 단위로 신기능이 쏟아지고 사용자 확보가 최우선이 된 상황에서, 보안 검토는 뒷순위로 밀리기 쉬워요. 문제는 이 도구들이 다루는 게 다름 아닌 '개발자의 컴퓨터와 소스 코드'라는 점이에요. 개발자 한 명이 뚫리면 그 사람이 만드는 소프트웨어를 쓰는 모든 사용자가 위험해지는, 공급망 공격의 입구가 될 수 있거든요. 그래서 보안 업계는 AI 에디터를 고가치 표적으로 분류하기 시작했고, 벤더의 취약점 대응 프로세스가 얼마나 성숙한지가 새로운 평가 기준으로 떠오르고 있어요.

한국 개발자가 지금 할 수 있는 것

커서든 다른 AI 에디터든, 당장 실천할 수 있는 수칙이 몇 가지 있어요. 첫째, 출처가 불분명한 리포지토리를 AI 에디터로 바로 열지 마세요. 채용 과제나 오픈소스 기여를 가장한 악성 리포가 실제 공격 수법으로 쓰이고 있거든요. 둘째, 에이전트의 자동 실행(auto-run) 관련 설정을 확인하고, 터미널 명령 실행은 수동 승인으로 두세요. 셋째, MCP 서버는 신뢰할 수 있는 것만 설치하고, 민감한 자격증명이 있는 환경과 실험 환경을 분리하세요. 넷째, 에디터 업데이트를 미루지 마세요. 이런 도구들은 보안 수정이 릴리스 노트에 조용히 묻어 나오는 경우가 많아요.

한 줄로 정리하면, AI 에디터는 이제 생산성 도구인 동시에 공격 표면이고, 벤더의 보안 대응 성숙도가 도구 선택의 기준이 되어야 한다는 것. 여러분은 고치지 않는 벤더에 대한 전면 공개, 정당한 압박이라고 보시나요, 아니면 위험한 도박이라고 보시나요?