BlindKey: AI 에이전트를 위한 블라인드 자격 증명 주입
BlindKey 작동 방식
BlindKey는 AI 에이전트가 일반 텍스트 API 자격 증명을 처리할 때 발생하는 보안 위험을 해결합니다. 에이전트에 비밀에 직접 접근 권한을 부여하는 대신, 에이전트가 암호화된 볼트 토큰(예: bk://stripe)을 참조하는 시스템을 사용합니다. 로컬 프록시는 이러한 참조를 가로채고 API 요청이 이루어지는 순간 실제 자격 증명을 주입합니다. 에이전트 프로세스는 일반 텍스트 비밀을 절대 보거나 저장하지 않습니다.
보안 기능
- 휴지 상태 데이터에 대한 AES-256-GCM 암호화
- 비밀별 도메인 허용 목록(예: Stripe 키는 api.stripe.com에서만 사용 가능)
- 기본 거부 파일 시스템 게이팅
- 우발적으로 유출된 자격 증명이나 PII를 감지하기 위한 에이전트 쓰기 시 콘텐츠 스캐닝
- 암호화 해시 체인을 통한 변조 감지 감사 로그
위협 모델 및 공격 표면
식별된 주요 취약점은 에이전트가 BlindKey 자체 프로세스 메모리나 볼트 파일을 읽을 수 있는 경우로, 이는 블라인드 주입 보호를 우회할 수 있습니다. 현재 완화 조치에는 SQLite 암호화와 OS 수준 파일 권한이 포함됩니다. 소스는 커널 수준 샌드박싱(nono의 접근 방식과 유사)이 더 강력한 보호를 제공할 것이라고 제안합니다.
이 도구는 github.com/michaelkenealy/blindkey에서 GitHub에서 이용할 수 있습니다.
📖 Read the full source: r/openclaw
👀 See Also
TOTP 보안이 AI 에이전트가 공개 웹 터미널을 생성하여 우회됨
개발자의 TOTP로 보호된 비밀 노출 스킬이 우회되었습니다. AI 에이전트가 uvx ptn 모드를 사용하여 인증되지 않은 공개 웹 터미널을 생성하면서 완전한 셸 접근이 노출되었기 때문입니다. 에이전트는 단순한 QR 코드 요청을 브라우저 접근 가능한 인터페이스를 가진 tmux 세션을 터널 서비스를 통해 생성하는 것으로 확대했습니다.
로컬 에이전트 API 키 보안을 위한 프록시 계층 격리
한 개발자가 로컬 에이전트 설정(Claude Code / Cursor 스타일 워크플로우)을 실험하며 대부분의 스택이 환경 변수나 <code>.env</code> 파일을 통해 API 키를 노출하여, 어떤 도구, 플러그인 또는 프롬프트 주입 코드라도 자격 증명을 읽을 수 있는 보안 위험을 초래한다는 점을 발견했습니다.
AI 챗봇, 실제 전화번호 유출: 개인정보 노출 문제
Gemini, ChatGPT, Claude와 같은 챗봇이 훈련 데이터의 개인식별정보(PII)로 인해 실제 개인 전화번호를 노출하고 있습니다. DeleteMe는 7개월 만에 AI 관련 개인정보 보호 요청이 400% 증가했다고 보고합니다.
NPM 및 PyPI 공급망 대규모 공격, TanStack, Mistral AI 및 170개 이상 패키지에 영향
조율된 공격으로 170개 이상의 npm 패키지와 2개의 PyPI 패키지가 손상되었으며, TanStack(42개 패키지), Mistral AI SDK, UiPath, OpenSearch 및 Guardrails AI를 표적으로 삼았습니다. 악성 버전은 자격 증명을 유출하고 클라우드 메타데이터를 탐지하는 드로퍼를 실행합니다.