r/ClaudeCode•10일 전•456•59

Claude Code v2.1.150, Anthropic의 원격 시스템 프롬프트 주입 기능 발견

핵심 요약

Claude Code v2.1.150 버전에서 Anthropic이 네트워크를 통해 시스템 프롬프트를 원격으로 주입할 수 있는 기능이 발견되었습니다.

원격 주입 발견 — 네트워크 호출을 통해 시스템 프롬프트가 실시간으로 변경될 수 있는 기능이 확인됨.
보안 우려 제기 — 사용자가 모르는 사이에 모델의 동작이 원격으로 제어될 가능성에 대한 비판이 나옴.
버전 고정 권장 — 자동 업데이트로 인한 보안 위험을 피하기 위해 특정 버전(v2.1.149)으로 고정하는 사용자가 늘어남.
투명성 부족 — 변경 로그에 명시되지 않은 내부 인프라 변경 사항이 사용자에게 알림 없이 적용됨.

Claude Code 실행 파일의 시스템 프롬프트를 자주 수정해서 쓰는데, 업데이트할 때마다 Claude한테 새 바이너리를 분석하게 시킴. v2.1.150으로 업데이트하다가 좀 소름 돋는 걸 발견함.

Claude Code가 이제 네트워크를 통해 Anthropic이 원격으로 시스템 프롬프트를 주입할 수 있게 함.

데이터 소스는 두 군데임. 첫째는 시작할 때 api.anthropic.com/api/claude_cli/bootstrap으로 보내는 API 호출(디스크에 캐시됨). 둘째는 60초마다 백그라운드 동기화로 갱신되는 GrowthBook 기능 플래그(tengu_heron_brook). 이 엔드포인트에서 반환된 문자열은 셸 접근 권한이 있는 LLM 모델의 시스템 프롬프트에 주입됨.

이전 버전에도 주입 포인트는 있었지만, 죽은 코드였고 그냥 null을 반환했음. 이진 탐색(bisect) 해보니 v2.1.150에서 추가된 거임. 변경 로그에는 "내부 인프라 개선(사용자 체감 변경 없음)"이라고 적혀 있는데, 이건 엄청난 축소 해석임.

CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1 설정으로 이게 차단되는 걸 확인했음. 만약을 대비해 DISABLE_GROWTHBOOK=1도 설정할 예정임.

검증 명령어:

npm pack @anthropic-ai/[email protected] --pack-destination /tmp
tar xzf /tmp/anthropic-ai-claude-code-linux-x64-2.1.150.tgz
strings package/claude | grep -oP 'function nAA(\{{[^}]+\}'
strings package/claude | grep -oP '.{0,60}heron_brook.{0,60}'

nAA는 디스크에서 캐시된 값을 읽음. 네트워크 호출은 n0A 함수에서 시작 시 발생함. Rv("heron_brook", () => nAA())는 이걸 핵심 동작 지침과 함께 시스템 프롬프트의 한 섹션으로 등록함. 이 축소된 이름들은 이 바이너리에만 해당함.

주요 댓글

r/claudecode

사용자들은 Anthropic이 Claude Code에 원격으로 시스템 프롬프트를 주입하는 행위를 보안 위협으로 간주하며 강하게 반발하고 있습니다.

168

우리는 Claude Code를 에이전트형 GitHub 액션으로 돌리라는 압박을 점점 받고 있는데, 폐쇄적인 성격이랑 예측 불가능한 릴리즈 주기, 그리고 이런 숨겨진 마법 같은 환경 변수들은 기업 입장에서 신뢰하기 어려움.

맞음. 난 Anthropic이 Claude 시스템 프롬프트에 'ㅋㅋ 생각 너무 많이 하지 마' 같은 멍청해지는 프롬프트를 넣을까 봐 걱정되는 건데, 누가 MITM 공격 방법을 찾아낼지도 모르는 일이지.

나도 딱 그 생각함. 이거 완전 악용되기 딱 좋은 거대한 보안 구멍 아니냐.

이슈 생성함: #62061

맞아. 그래서 여기랑 HN(해커뉴스)에 올린 거야.

걔네들 이슈 올라오면 거의 다 자동으로 닫아버리는 것 같더라.

맞아. 그래서 여기랑 HN(해커뉴스)에도 올린 거야.

결국 그쪽에서도 네 말이 완전히 맞다고 인정했네. 품질 저하 방지가 주 목적이라면서, CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1이랑 DISABLE_GROWTHBOOK=1로 실험을 끌 수 있다고 안내하네. 보안 관점에서는 신뢰할 수 없는 프록시를 통해 Claude Code를 사용하는 걸 권장하지 않는대. 우리가 제어하거나 신뢰할 수 없는 프록시는 Claude Code가 Claude API에 보내는 요청의 시스템 프롬프트를 안전하지 않게 수정할 수 있으니까.

예상대로네. 프롬프트 인젝션 맞음. 걔네가 우리한테 무슨 문자열을 보내는지 알 방법이 없지. 내 위협 모델에는 항상 Anthropic 자체가 포함될 거야. 예전 시스템 프롬프트에는 이런 내용이 있었거든. "핵심만 말해. 뱅뱅 돌지 말고 가장 간단한 접근법부터 시도해. 과하게 하지 마. 아주 간결하게 해." 그래, Claude. 과하게 하지 마. 생각도 하지 마. 그냥 쓰레기 같은 결과물이나 내뱉고 끝내라고. 그날 이후로 Anthropic의 프롬프트는 전혀 신뢰할 수 없게 됐어.

음, 걔네가 시스템 프롬프트를 작성하는 건데 그게 "인젝션!!!!111"이라고? 당연한 소릴 하네. 아니, 난 Codex로 안 갈아탈 거야.

나도 Codex로 안 갈아타. 그냥 내가 모르는 사이에 걔네가 내 시스템 프롬프트에 알 수 없는 명령어를 주입하는 게 싫은 거야. 걔네 "테스트" 때문에 아무 설명도 없이 갑자기 Opus가 멍청해질 수도 있잖아. 그리고 이건 명백한 프롬프트 인젝션이 맞아. 네트워크에서 문자열을 다운로드해서 시스템 프롬프트 배열에 주입하는 거잖아. Anthropic이 하는 짓이라는 사실이 프롬프트에 문자열이 주입된다는 사실을 바꾸진 않아. 난 걔네가 내 프롬프트에 문자열을 주입하는 걸 원치 않는다고.

어차피 원격 LLM을 돌리는 건데, 걔네가 모델에 도달하기 전에 Claude Code를 수정해서 뭘 주입할 필요가 뭐가 있음?

아니, 내 목숨까지 맡겼는데 이제는 내 간까지 달라고 하네!

원격 시스템 프롬프트 인젝션 벡터를 추가해놓고 '사용자에게 영향 없음'이라고 쓴 놈한테 올해의 과소평가상 줘야 함.

거기에 달린 답글도 꽤 흥미롭네. "제보 고맙다! 우리는 시스템 프롬프트 변경 사항이 전체 배포 전에 품질에 어떤 영향을 미치는지 평가하려고 가끔 실험을 진행해. 주로 품질 저하를 방지하기 위한 목적이야. CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1이랑 DISABLE_GROWTHBOOK=1을 사용해서 이런 실험들을 전부 거부할 수 있어."

지금 같이 볼 만한 글

r/ChatGPT

평균적인 레딧 관리자 모습 그려줘

AI가 생성한 평균적인 레딧 관리자의 모습에 대해 사용자들의 자조 섞인 반응과 고정관념에 대한 토론이 이어짐.

1069126

r/LocalLLaMA

Gemma 4 모델 추가 출시 예정

Gemma 4의 새로운 모델, 특히 120B급 대형 모델 출시에 대한 기대와 성능 논의가 활발함.

443102

r/ClaudeAI

Opus 4.8로 하루 만에 '테무판 리그 오브 레전드'를 만들었습니다 - 이름은 LMAO입니다

Claude Opus 4.8을 활용해 하루 만에 멀티플레이어 웹 게임을 개발한 프로젝트 공유.

2336230

커뮤니티 전체 보기