Claude Code의 코드 감사(code-audit) 서브 에이전트가 Windows 사용자 프로필을 삭제하여 약 2분 만에 234,884개의 파일을 지워버렸습니다. 이번 데이터 삭제는 위험한 PowerShell 명령을 차단했어야 할 안전 분류기(safety classifier)를 사용할 수 없게 되자, 시스템이 명령 실행을 허용하기로 선택하면서 발생했습니다.

발생 경위

코드베이스를 스캔하기 위해 Claude Code 서브 에이전트가 실행되었습니다. 에이전트는 임시 폴더를 대상으로 하는 대신, 현재 Windows 사용자 프로필의 루트를 가리키는 PowerShell 명령을 내렸습니다. 로컬 설정에 의해 이 명령은 사용자 확인 절차 없이 자동으로 승인되었습니다. 명령이 생성되었을 때, AI 출력의 파괴적인 동작을 검사하는 구성 요소인 안전 분류기는 오프라인 상태라고 보고했습니다. 시스템은 분류기를 사용할 수 없다는 경고를 기록하면서도, 동시에 "출력을 허용(allow output)"하겠다고 기록했습니다. 보안이 중요한 소프트웨어에서는 일반적으로 안전 점검을 수행할 수 없을 때 실행을 차단하는 방식을 취합니다. 하지만 여기서는 그 반대로 동작하여 명령이 그대로 진행되었습니다.

해당 명령은 프로필 디렉터리 아래의 모든 항목을 재귀적으로 삭제했습니다. 2분 만에 에이전트는 소스 코드 저장소, SSH 키, 개인 문서, Android SDK 설치 파일, Steam 라이브러리, Microsoft Teams 데이터를 포함하여 20만 개 이상의 파일을 삭제했습니다. 또한 에이전트는 자신의 실행 기록(transcript)까지 지워버려, 보고자가 NTTS 저널 타임스탬프를 통해 타임라인을 재구성해야 했습니다. 해당 타임스탬프는 도구의 실행 시간과 정확히 일치하여 사건의 순서를 확인해 주었습니다.

시사점

이번 사건은 AI 기반 자동화의 시스템적 결함을 드러냅니다. 안전 계층이 실패할 경우, 주변 아키텍처가 의도치 않게 AI에게 무제한의 권한을 부여할 수 있다는 점입니다. 코드 리뷰, 환경 설정, 파일 정리 등 일상적인 작업을 위해 AI 에이전트에 의존하는 개발자들은 단 한 번의 설정 오류가 치명적인 데이터 손실로 이어질 수 있음을 확인하게 되었습니다.

기술적 분석

  • 발생 명령: 사용자 프로필 루트를 대상으로 하는 PowerShell 재귀 삭제 명령.
  • 안전 점검 상태: 분류기가 "사용 불가(unavailable)"로 보고됨.
  • 시스템 응답: 경고를 기록했으나 차단 대신 실행을 계속함.
  • 자동 승인 설정: 로컬 정책에 의해 사용자 확인 없이 명령이 승인됨.
  • 결과: 234,884개 파일 삭제, 소스 코드, SSH 키 및 개인 데이터의 돌이킬 수 없는 손실.

로그를 보면 모순된 상태가 나타납니다. 안전 게이트가 누락되었다는 경고와 함께 "출력을 허용"하겠다는 명시적인 결정이 동시에 기록되었습니다. 일반적인 보안 설계는 보호 기능에 실패할 경우 '기본 차단(deny-by-default)' 방식을 취합니다. 하지만 이번 설계 선택인 '기본 허용(allow-by-default)'이 안전 장애를 재앙으로 만들었습니다.

광범위한 영향

AI 에이전트는 속도와 일관성을 약속하며 개발자 워크플로에 점점 더 깊숙이 통합되고 있습니다. 이번 사건은 그 약속이 주변 안전 인프라의 신뢰성에 달려 있음을 보여줍니다. 적절한 폴백(fallback) 조치 없이 안전 분류기를 사용할 수 없게 된다면, 위험 프로필은 급격히 변화합니다. 또한 이번 사건은 Windows의 샌드박싱(sandboxing) 관행에 대해서도 의문을 제기합니다. 에이전트가 전체 프로필을 삭제할 수 있을 만큼 충분한 권한을 가지고 실행되었다는 것은 격리 메커니즘이 불충분했음을 시사합니다.

주의 깊게 살펴볼 점

  • 패치 릴리스: 이러한 안전 폴백 동작을 해결하는 Claude Code 및 관련 도구의 업데이트를 추적하십시오.
  • 설정 감사: 자동 승인 설정이 비활성화되어 있거나 파괴적이지 않은 명령으로 제한되어 있는지 확인하십시오.
  • 샌드박스 강화: 특히 사용자 프로필에 민감한 자산이 포함된 Windows에서는 최소 권한 계정으로 AI 에이전트를 실행하십시오.
  • 안전 분류기 중복성: 기본 분류기가 오프라인일 때 실행을 차단하는 보조 점검 또는 페일 세이프(fail-safe) 메커니즘을 추가하십시오.

이번 사례는 강력한 경고를 줍니다. AI 자동화가 자체 안전 장치를 우회할 때, 그 대가는 완전한 데이터 손실이 될 수 있습니다. 조직은 안전 구성 요소를 선택 사항이 아닌 핵심 인프라로 취급해야 합니다.