무료 Claude 스킬, 보안 위험을 위해 다른 스킬을 검사합니다
한 개발자가 다른 Claude 스킬의 보안을 검토하도록 설계된 무료 Claude 스킬을 만들었습니다. 이 도구는 커뮤니티에서 만든 스킬에 대한 보안 검토 생태계에 대한 우려를 해결하며, 개발자는 이를 오픈 소스 패키지 보안의 초기 시절과 비교합니다.
스킬의 기능
이 스킬은 사용 전에 Claude 스킬을 다음과 같이 검사합니다:
- 스킬 코드에서 잠재적으로 악의적인 행동을 확인
- 기본적인 보안 신호를 표면화하기 위해 점수판 방식으로 저장소 검토
개발자는 특히 Claude를 위해 이 프로젝트를 구축하여 "이 Claude 스킬이 사용하기에 합리적으로 안전해 보이나요?"라는 질문에 답하는 데 도움을 줍니다.
개발 과정
Claude는 다음과 같은 개발 부분을 지원했습니다:
- 워크플로우 형성
- 검사 항목 정제
- 구현 속도 향상
가용성 및 피드백
이 도구는 다음에서 무료로 사용해 볼 수 있습니다: https://github.com/CloudSecurityPartners/skills
개발자는 Claude 스킬을 구축하거나 사용하는 사람들로부터 피드백을 구하고 있으며, 특히 어떤 보안 검사가 가장 유용할지에 대한 의견을 찾고 있습니다.
📖 전체 출처 읽기: r/ClaudeAI
👀 See Also
사랑스러운 데모용 에듀테크 앱에서 노출된 보안 취약점
보안 연구원이 Lovable에서 성공 사례로 소개된 교육 기술(EdTech) 애플리케이션에서 여러 치명적인 취약점을 발견했습니다. 이 앱은 인증 없이 18,697명의 사용자 기록을 노출하는 심각한 인증 논리 결함을 포함해 16개의 취약점이 있었습니다. Lovable 쇼케이스에서 10만 회 이상 조회되었으며 UC 버클리, UC 데이비스 및 전 세계 학교의 실제 사용자를 보유하고 있었습니다.
Litellm PyPI 패키지가 위협받음: 악성 버전 1.82.8이 자격 증명을 유출시켰습니다
litellm PyPI 패키지가 OpenAI, Anthropic, Cohere 및 기타 LLM 제공업체에 대한 호출을 통합하는 기능을 제공하는데, 악성 버전 1.82.8로 약 1시간 동안 SSH 키, 클라우드 자격 증명, API 키 및 기타 민감한 데이터를 유출하는 방식으로 손상되었습니다.
나노클로의 AI 에이전트 보안 모델: 컨테이너 격리와 최소 코드
NanoClaw는 각 AI 에이전트가 권한 없는 사용자 접근, 격리된 파일 시스템, 명시적 마운트 허용 목록을 갖춘 자체 임시 컨테이너에서 실행되는 보안 아키텍처를 구현합니다. 코드베이스는 의도적으로 최소화되어 약 1개의 프로세스와 소수의 파일로 구성되며, 기능을 재발명하기보다는 Anthropic의 Agent SDK에 의존합니다.
LLM 에이전트의 도구 권한 주입: 도구 출력이 시스템 의도를 무시할 때
한 연구자가 로컬 LLM 에이전트 실험실을 구축하여 '도구 권한 주입'을 시연했습니다. 이는 AI 에이전트에서 도구 출력이 시스템 의도를 재정의하는 시나리오입니다.