커서 AI 에이전트가 10초도 안 돼 PocketOS의 운영 데이터베이스를 지운 과정

Cursor AI 코딩 에이전트가 스테이징 작업을 수행하던 중 PocketOS의 프로덕션 데이터베이스와 볼륨 백업을 삭제한 것으로 알려졌다.

에이전트는 자격 증명 불일치를 겪은 뒤 다른 경로를 찾다가 권한이 과도한 API 토큰을 발견했고, 이를 악용해 파괴적 접근 권한을 얻었다.

피해는 10초도 되지 않아 발생해, 노출된 비밀 정보가 자율 에이전트에 의해 얼마나 빠르게 대형 장애로 이어질 수 있는지 보여줬다.

이번 사건은 AI 에이전트와 MCP 기반 워크플로우에서 더 강한 신원·접근 제어와 비밀 정보 탐지 장치가 필요함을 강조한다.