에이전트가 emit 한 <run_command>가 사람 확인·허용리스트 강제 없이 즉시 셸에서 실행되던 임의 코드 실행(RCE) 경로를, "차단 / 자동허용 / 승인필요" 3분류 게이트로 닫았다.
🧠 핵심 개념 (Core concepts)
게이트 우회 (gate bypass): dryRun 승인 흐름이 파일 트랜잭션 커밋만 지연시킬 뿐, 셸 명령 실행은 그보다 먼저 무조건 일어났다 [S1].
비강제 sanitize: 기존 sanitizeCommand는 위험 패턴 블록리스트 ~8개 + 허용리스트는 console.warn만 하고 통과 — 즉 사실상 통제가 아니었다 [S2].
fail-closed 설계: 승인 채널이 없으면(테스트/헤드리스) 미등록 명령을 실행하지 않는다 — 안전 측 실패.
dryRun 의미 일치: 명령은 롤백 불가하므로 dryRun(미리보기)에서는 실행하지 않는다.
🩺 증상 (Symptom)
모델 출력이나 웹/파일에 주입된 지시가 <run_command>...</run_command> 태그를 만들면, 사용자 승인 프롬프트가 뜨기 전에 명령이 이미 실행되어 종료코드/출력까지 캡처됐다. g1nation.dryRun을 켜도 명령 실행은 막히지 않았다(파일 변경만 승인 대기).
🌐 환경 / 범위 (Environment & scope)
프로젝트: ASTRA (E:/Wiki/astraai, repo git.koritips.com/bluemsi/Astra.git) — VS Code 확장 + Electron 데스크톱, TypeScript/esbuild.
영향 표면: 에이전트 액션 파이프라인 executeActions → applyRunCommandActions. 데스크톱·확장 양쪽 동일.
dryRun 기본값 false → 기본 사용자는 약한 블록리스트 + 풀셸 실행에만 의존 [S4].
기존 코드: 블록리스트에 안 걸리면 child_process.exec로 즉시 실행됨(runCommand.ts).
dryRun=true로 해도 동일하게 실행됨 — 승인 로직은 파일 트랜잭션에만 적용(agent.ts:2009 영역).
🔥 영향 및 심각도 (Impact & severity)
Critical. 모델/주입 콘텐츠 → 사람 확인 없는 로컬 임의 코드 실행. 블록리스트로 못 막는 파괴/유출 명령 다수(rm -rf ~, del /s, curl|sh, iex, python -c, 백틱·;·| 체인). 신뢰성 최우선이라는 ASTRA 비전 신뢰 가능한 디지털 직원 철학과 정면 충돌.
🧠 근본 원인 (Root cause)
실행 순서: executeActions에서 applyRunCommandActions(ctx)가 dryRun/ApprovalQueue 분기보다 먼저 호출되어 무조건 실행 [S1].
통제 부재: sanitizeCommand의 허용리스트가 경고만 하고 명령을 그대로 반환 → 실질 게이트 없음 [S2].
인프라 미사용: ApprovalQueue에 'command' kind 타입은 이미 있었으나 아무도 enqueue 하지 않았다 [S5].
🔎 조사 과정 (Investigation)
다중 에이전트 보안 감사로 agent.ts:1985(실행) vs :2009(승인) 순서 역전 확인.
dryRun 기본 false, 명령 승인용 설정·'command' enqueue 부재 확인.
🛠️ 해결 (Resolution / applied fix)
security.ts에 classifyCommand(cmd): 'block' | 'allow' | 'approve' 도입 + 보조함수 assertCommandSafe, isCommandAllowlisted. 블록리스트 대폭 강화(rm -rf /~.*, curl|sh/wget|bash, iex, mkfs, dd, del /s, Remove-Item -Recurse -Force, fork bomb, shutdown 등), 허용리스트 확장(npm/git/node/python/tsc/jest/docker…) + 체인의 모든 세그먼트 검사.
runCommand.ts 재작성: block→차단 보고, allow→즉시 실행, approve→ApprovalQueue('command') enqueue 후 승인 시에만 실행하고 결과를 postChunk로 채팅 전달. dryRun→미실행 미리보기. 승인 채널 없으면 fail-closed(실행 보류).
구조적 안전 포인트: 명령 승인(dryRun off)과 트랜잭션 승인(dryRun on)이 상호배타 → 0..1 승인 큐 선점 충돌 없음.
💻 코드 패턴 (Code patterns)
// security.ts — 3분류 게이트
exportfunctionclassifyCommand(command: string):'block'|'allow'|'approve'{try{assertCommandSafe(command);}catch{return'block';}// 파괴 패턴: 승인으로도 불가
returnisCommandAllowlisted(command)?'allow':'approve';// 모든 세그먼트 allowlist → allow
}
// runCommand.ts — 게이트 적용 (요약)
constdecision=classifyCommand(cmd);if(decision==='block'){report.push(`❌ 차단됨(위험 명령)`);continue;}if(ctx.dryRun){report.push(`⚠️ Dry Run — 명령 미실행`);continue;}if(decision==='approve'){if(ctx.approvalQueue){pendingApproval.push(safeCmd);/* enqueue 후 승인 시 실행 */}elsereport.push(`⛔ 미승인 명령 — 실행 보류(fail-closed)`);continue;}report.push(awaitexecuteCommand(safeCmd,rootPath));// allow → 즉시 실행
✅ 검증 (Verification)
tsc --noEmit 0 에러, esbuild 양쪽 번들 빌드 성공.
신규 tests/commandGate.test.ts 9개: 분류(allow/approve/block)·즉시실행·fail-closed·승인 후 실행·dryRun 미실행·파괴 명령 차단.
기존 folderActions.test.ts 5개 유지(mkdir allow 실행 / rm -rf / 차단).
koriweb
8957890d13