에이전틱 코드 리뷰 — 2026년 25주 웹 개발

이번 주 일반 웹 개발에서 가장 시급한 주제는 AI 에이전트와 함께 대규모로 나타나고 있는 confused deputy 보안 패턴이었습니다. Meta의 AI 고객 지원 어시스턴트가 6월 초 익스플로잇 코드 없이 자연어 대화만으로 계정 복구 이메일을 변경하는 방식으로 오바마 전 대통령 재임 시절 백악관 계정을 포함한 20,000개 이상의 Instagram 계정을 탈취당하는 데 악용되었습니다. Microsoft 연구팀은 동시에 AutoJack을 공개하였습니다. AutoGen Studio의 MCP WebSocket 핸들러(사전 릴리스 빌드 0.4.3.dev1, 0.4.3.dev2)를 대상으로 한 익스플로잇 체인으로, localhost 신뢰 상속, MCP 경로에서의 인증 미들웨어 건너뜀, 허용 목록 없는 명령 실행이라는 세 가지 취약점을 연쇄하여 호스트 수준의 RCE를 달성합니다. Auth0의 관련 글은 Cursor가 사용자 수준의 OAuth 위임을 보유하고 RFC 8693 Token Exchange를 구현한 적절한 스코프 identity 모델 대신 사용한 결과 PocketOS의 전체 프로덕션 데이터베이스를 9초 만에 삭제한 사례를 보여주었습니다.

Vercel은 TypeScript 에이전트 프레임워크 eve를 오픈소스로 공개하였습니다. 파일시스템 기반 디렉토리 구조(agent.ts, instructions.md, 타입이 지정된 툴 파일, Markdown 스킬 파일, 채널 어댑터)를 사용하며 Workflow SDK를 통한 durable execution과 격리된 샌드박스 코드 실행을 제공합니다. Vercel은 eve 기반의 100개 이상의 프로덕션 에이전트를 운영하고 있으며, 티켓의 92%를 자율적으로 해결하는 지원 에이전트와 월 3만 건의 질문을 처리하는 데이터 분석 에이전트가 포함됩니다. Addy Osmani의 에이전트 코드 리뷰 분석은 Faros AI가 22,000명의 개발자를 대상으로 수집한 데이터를 바탕으로 AI 생성 코드의 비용을 정량화하였습니다. 코드 churn 861% 증가, 결함률 9%에서 54%로 상승, 리뷰 없는 머지 31% 증가가 확인되었습니다. 그의 처방은 blast radius에 따른 계층적 리뷰이며, 지적된 문제의 93%가 정확히 하나의 도구에서만 발견된다는 점에서 Greptile(정확성)과 Sentry Seer(프로덕션 심각도)처럼 서로 다른 두 AI 리뷰어를 병행 실행하는 것을 권장합니다.

npm v12의 기본 라이프사이클 스크립트 차단(preinstall, install, postinstall, binding.gyp)은 Shai-Hulud, Miasma, chalk/debug와 같은 캠페인에서 악용된 설치 시점 공격 벡터를 차단합니다. 그러나 Ulises Gascon의 상세 분석에 따르면 index.js에 IIFE를 추가하거나 child_process를 통해 환경 변수를 수집하는 실행 시점 공격은 여전히 완전히 가능합니다. Node.js 권한 모델은 보안 경계가 아니며, --allow-net을 통한 네트워크 권한은 Node.js 25에서야 추가되었고 실제 CVE도 발생하였습니다. Cloud Four를 통해 매개된 WebMCP에 대한 Safari의 공식 반대는 더 넓은 원칙을 명확히 하였습니다. AI 에이전트를 위한 개선 사항은 모든 사용자가 혜택을 받도록 HTML과 ARIA를 통해 이루어져야 하며, 스크린 리더 사용자보다 에이전트에게 더 풍부한 시맨틱을 제공하는 별도의 API 계층으로 구현되어서는 안 됩니다.