2026년 8월 28일, 보안 연구원 0xCC는 등골이 오싹해지는 취약점을 공개했다. 3.5만 개의 스타를 받은 오픈소스 시스템 Omarchy에서, 시스템이 기본적으로 실행 중인 모든 프로그램에 최고 권한의 키를 발급하고 있었다는 것이다. 이는 이 시스템을 설치하기만 하면 그 안의 어떤 일반 소프트웨어도 비밀번호 없이 시스템 전체를 직접 장악할 수 있다는 것을 의미한다.
치명적인 편의성의 대가
유명 개발자 DHH가 주도하는 Omarchy는 “AI 에이전트 시대를 위해 탄생한 유연한 운영 체제”를 표방하며, AI의 도움을 통한 빠른 코딩을 극도로 장려한다. 이러한 개발 속도에 대한 극단적인 추구는 놀라운 보안 타협으로 직결되었다. 2025년 6월부터 이 시스템은 조용히 기본 사용자를 리눅스의 docker 그룹에 추가했다.
Docker 공식 문서에서는 이 그룹에 가입하는 것이 최고 수준의 루트(root) 권한을 부여하는 것과 같다고 이미 명확하게 경고한 바 있다. 하지만 Omarchy는 이를 출고 시 기본 설정으로 숨겨두었고, 사용자는 알지 못하는 사이에 극단적인 보안 위험을 감수해야 했다. 이러한 은밀한 설정 변경은 시스템 권한 격리에 대한 사용자의 기본적인 신뢰를 무너뜨린 것이다.
그림: Omarchy 4 데스크톱. 출처: omarchy.org 공식 웹사이트
허울뿐인 보안 방어선과 논란
리눅스 환경에서 Docker 데몬은 기본적으로 시스템 최고 권한으로 실행되며, 지속적으로 /var/run/docker.sock이라는 채널을 모니터링한다. 일반 사용자를 docker 그룹에 추가하는 것은 성의 뒷문에 영구 통행증을 남겨두는 것과 같다. 이 그룹에 속한 사용자나 프로그램은 채널에 명령을 보내 데몬이 최고 권한으로 컨테이너를 시작하고, 호스트 디렉터리를 마운트하며, 코드를 실행하도록 할 수 있다.
커뮤니티 논의에서는 이러한 설계의 위험성에 대해 다른 목소리도 존재했다. teekert와 같은 일부 개발자는 이것이 Omarchy만의 고유한 문제가 아니라 docker 그룹을 사용할 때 알려진 일반적인 위험이라고 주장했다. 반면 Aurornis 등은 문제의 핵심이 모든 사용자 및 프로그램에 기본적으로 루트 권한을 부여하는 것과 다름없는 “출고 시 기본 설정”에 있다고 반박했다. 이는 시스템 개발이 AI의 빠른 결과물 도출에 지나치게 의존할 때, 업계에 알려진 보안의 마지노선조차 편의성이라는 포장 아래 쉽게 넘어설 수 있음을 보여준다.
그림: 취약점 시연 비디오 “Omarchy - Every Process Runs with Root” 썸네일. 출처: 0xCC / YouTube
표적으로 전락한 개발자
이번 취약점 사태의 진정한 원흉은 “안전한 기본값”을 선택 사항으로 여기는 개발 철학이다. 심지어 Omarchy의 문서는 “not as root”라고 오해를 불러일으키게 작성되어 있어, 독자들은 이 시스템이 권한 관리 측면에서 충분히 통제되고 있다고 합리적으로 추론하게 되지만 실제 상황은 정반대이다.
AI가 코드를 작성하는 속도가 갈수록 빨라지는 이 시대에, 개발자의 컴퓨터 자체는 공급망 공격의 가장 가치 있는 표적이다. 컴퓨터들은 막대한 권한을 가지고 있으며, 각종 비밀번호 자격 증명이 상주하고, 방대한 시스템 접근 권한이 축적되어 있다. 시스템 하단에서 수고를 덜기 위해 보안 방어선을 포기한다면, 대수롭지 않아 보이는 의존성 설치 한 번이 수많은 사용자에게 영향을 미치는 공급망 재앙으로 번질 수 있다.
AI 보조 프로그래밍을 주력으로 하는 인기 시스템이 이른바 사용자 경험을 위해 모든 사용자의 컴퓨터를 무방비 상태로 방치할 수 있을 때, 기술 커뮤니티는 경각심을 가져야 한다. AI 코딩 도구가 개발의 진입 장벽을 빠르게 낮추고 있는 오늘날, 기본 보안 마지노선이 함부로 짓밟혀서는 안 된다. 개발자가 효율성을 추구하며 아낀 1분 1초가 결국 시스템적인 보안 재앙으로 돌아올 수 있다.
위의 분석과 결론은 현재 공개된 기술적 세부 사항과 커뮤니티 논의를 바탕으로 한 것이다. 동료들의 많은 지적을 환영한다.
참고 링크:
- 0xCC 취약점 공개 보고서
- HN 논의 (item?id=49499854)
