AI 에이전트 악용: 로컬 AI CLI 도구 & MCP (Claude/Gemini/Warp)

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

개요

Claude Code, Gemini CLI, Warp 등과 같은 Local AI command-line interfaces (AI CLIs)는 종종 강력한 내장 기능을 제공합니다: filesystem read/write, shell 실행 및 아웃바운드 네트워크 접근. 많은 도구가 MCP clients (Model Context Protocol)로 동작하여 모델이 STDIO나 HTTP를 통해 외부 도구를 호출할 수 있게 합니다. LLM이 도구 체인을 비결정적으로 계획하기 때문에 동일한 프롬프트라도 실행이나 호스트에 따라 프로세스, 파일, 네트워크 동작이 달라질 수 있습니다.

Key mechanics seen in common AI CLIs:

  • 대체로 Node/TypeScript로 구현되며, 모델을 시작하고 도구를 노출하는 얇은 래퍼를 사용.
  • 여러 모드: 대화형 채팅, plan/execute, 단일 프롬프트 실행.
  • MCP client 지원 (STDIO 및 HTTP 전송), 로컬 및 원격 기능 확장 가능.

오용 영향: 단일 프롬프트로 자격증명 목록을 수집하고 exfiltrate하며, 로컬 파일을 수정하고 원격 MCP 서버에 연결해 조용히 기능을 확장할 수 있습니다(해당 서버가 서드파티인 경우 가시성 격차 발생).

공격자 플레이북 – 프롬프트 기반 Secrets 인벤토리

에이전트에게 조용히 자격증명/비밀을 빠르게 분류하고 exfiltration을 위해 준비하도록 지시:

  • Scope: $HOME 및 애플리케이션/월렛 디렉토리 하위에서 재귀적으로 열거; noisy/pseudo paths (/proc, /sys, /dev)는 회피.
  • Performance/stealth: 재귀 깊이 제한; sudo/priv‑escalation 회피; 결과 요약.
  • Targets: ~/.ssh, ~/.aws, cloud CLI creds, .env, *.key, id_rsa, keystore.json, 브라우저 저장소 (LocalStorage/IndexedDB profiles), crypto‑wallet 데이터.
  • Output: /tmp/inventory.txt에 간결한 목록을 작성; 파일이 존재하면 덮어쓰기 전에 타임스탬프가 붙은 백업을 생성.

Example operator prompt to an AI CLI:

You can read/write local files and run shell commands.
Recursively scan my $HOME and common app/wallet dirs to find potential secrets.
Skip /proc, /sys, /dev; do not use sudo; limit recursion depth to 3.
Match files/dirs like: id_rsa, *.key, keystore.json, .env, ~/.ssh, ~/.aws,
Chrome/Firefox/Brave profile storage (LocalStorage/IndexedDB) and any cloud creds.
Summarize full paths you find into /tmp/inventory.txt.
If /tmp/inventory.txt already exists, back it up to /tmp/inventory.txt.bak-<epoch> first.
Return a short summary only; no file contents.

Capability Extension via MCP (STDIO and HTTP)

AI CLIs는 추가 도구에 접근하기 위해 자주 MCP 클라이언트로 동작합니다:

  • STDIO transport (local tools): 클라이언트가 도구 서버를 실행하기 위해 helper 체인을 스폰합니다. 일반적인 계보: node → <ai-cli> → uv → python → file_write. 관찰된 예: uv run --with fastmcp fastmcp run ./server.py는 python3.13을 시작하고 에이전트를 대신해 로컬 파일 작업을 수행합니다.
  • HTTP transport (remote tools): 클라이언트가 원격 MCP 서버로 아웃바운드 TCP(예: 포트 8000)를 열어 요청된 동작을 실행합니다(예: write /home/user/demo_http). 엔드포인트에서는 클라이언트의 네트워크 활동만 보이며, 서버 측 파일 변경은 호스트 밖에서 발생합니다.

Notes:

  • MCP tools는 모델에 설명되며 planning에 의해 자동 선택될 수 있습니다. 동작은 실행마다 달라집니다.
  • Remote MCP servers는 blast radius를 증가시키고 호스트 측 가시성을 줄입니다.

Local Artifacts and Logs (Forensics)

  • Gemini CLI session logs: ~/.gemini/tmp/<uuid>/logs.json
  • 자주 보이는 필드: sessionId, type, message, timestamp.
  • 예시 message: “@.bashrc what is in this file?” (사용자/에이전트 의도 캡처).
  • Claude Code history: ~/.claude/history.jsonl
  • JSONL 항목에 display, timestamp, project 같은 필드가 포함됩니다.

Pentesting Remote MCP Servers

Remote MCP servers는 LLM 중심 기능( Prompts, Resources, Tools)을 앞단에서 제공하는 JSON‑RPC 2.0 API를 노출합니다. 이들은 전통적인 웹 API 취약점을 그대로 물려받으면서 async transports(SSE/streamable HTTP)와 세션별 의미론을 추가합니다.

Key actors

  • Host: LLM/agent 프런트엔드(Claude Desktop, Cursor 등).
  • Client: Host가 사용하는 per‑server connector(서버당 하나의 클라이언트).
  • Server: Prompts/Resources/Tools를 노출하는 MCP 서버(로컬 또는 원격).

AuthN/AuthZ

  • OAuth2가 일반적입니다: IdP가 인증하고 MCP 서버는 resource server로 동작합니다.
  • OAuth 이후 서버는 후속 MCP 요청에 사용되는 인증 토큰을 발급합니다. 이는 initialize 이후 연결/세션을 식별하는 Mcp-Session-Id와는 별개입니다.

Transports

  • Local: JSON‑RPC over STDIN/STDOUT.
  • Remote: Server‑Sent Events (SSE, 여전히 널리 배포됨) 및 streamable HTTP.

A) Session initialization

  • 필요하면 OAuth 토큰을 획득합니다 (Authorization: Bearer …).
  • 세션을 시작하고 MCP 핸드셰이크를 수행합니다:
{"jsonrpc":"2.0","id":0,"method":"initialize","params":{"capabilities":{}}}
  • 반환된 Mcp-Session-Id를 유지하고 전송 규칙에 따라 이후 요청에 포함하세요.

B) 기능 열거

  • 도구
{"jsonrpc":"2.0","id":10,"method":"tools/list"}
  • 리소스
{"jsonrpc":"2.0","id":1,"method":"resources/list"}
  • 프롬프트
{"jsonrpc":"2.0","id":20,"method":"prompts/list"}

C) 악용 가능성 검사

  • 리소스 → LFI/SSRF
  • 서버는 resources/list에서 광고한 URI에 대해서만 resources/read를 허용해야 합니다. 집합에 없는 URI를 시도해 약한 적용을 탐지하세요:
{"jsonrpc":"2.0","id":2,"method":"resources/read","params":{"uri":"file:///etc/passwd"}}

{"jsonrpc":"2.0","id":3,"method":"resources/read","params":{"uri":"http://169.254.169.254/latest/meta-data/"}}
  • 성공은 LFI/SSRF 및 내부 피벗 가능성을 나타냅니다.
  • 리소스 → IDOR (multi‑tenant)
  • 서버가 multi‑tenant인 경우 다른 사용자의 resource URI를 직접 읽어보십시오; per‑user 검사가 없으면 cross‑tenant 데이터가 leak됩니다.
  • 도구 → Code execution and dangerous sinks
  • 도구 스키마를 열거하고 command lines, subprocess calls, templating, deserializers, 또는 file/network I/O에 영향을 주는 매개변수를 fuzz하십시오:
{"jsonrpc":"2.0","id":11,"method":"tools/call","params":{"name":"TOOL_NAME","arguments":{"query":"; id"}}}
  • 결과에서 error echoes/stack traces를 찾아 페이로드를 정교화하세요. 독립적인 테스트에서 MCP tools에 광범위한 command‑injection 및 관련 취약점이 보고되었습니다.
  • Prompts → Injection preconditions
  • Prompts는 주로 메타데이터를 노출합니다; prompt injection은 prompt parameters를 조작할 수 있을 때만 중요합니다(예: compromised resources 또는 client bugs를 통해).

D) 가로채기 및 퍼징을 위한 Tooling

  • MCP Inspector (Anthropic): Web UI/CLI로 STDIO, SSE 및 streamable HTTP와 OAuth를 지원합니다. 빠른 정찰과 수동 도구 호출에 적합합니다.
  • HTTP–MCP Bridge (NCC Group): MCP SSE를 HTTP/1.1로 브리지하여 Burp/Caido를 사용할 수 있게 합니다.
  • 브리지를 대상 MCP 서버(SSE transport)를 가리키도록 시작하세요.
  • 수동으로 initialize 핸드셰이크를 수행하여 유효한 Mcp-Session-Id를 획득하세요(README 참조).
  • Repeater/Intruder를 통해 tools/list, resources/list, resources/read, tools/call 같은 JSON‑RPC 메시지를 프록시하여 재생 및 퍼징하세요.

간단한 테스트 계획

  • 인증(OAuth가 있으면 OAuth) → initialize 실행 → 열거화(tools/list, resources/list, prompts/list) → resource URI allow‑list 및 사용자별 권한 검증 → 코드 실행 및 I/O 싱크로 의심되는 도구 입력을 퍼징.

영향 요약

  • resource URI 강제 없음 → LFI/SSRF, 내부 탐지 및 데이터 도난.
  • 사용자별 검사 누락 → IDOR 및 테넌트 간 노출.
  • 안전하지 않은 도구 구현 → command injection → 서버 측 RCE 및 데이터 유출.

참고자료

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기