OpenSRE의 CVE-2026-109444 취약점은 0.1.2026.10.19 이하 버전에서 발생하는 보안 결함입니다. shell_run 도구를 이용한 프롬프트 인젝션으로 시스템의 승인 게이트를 우회하고, 최종적으로는 원격 코드 실행(RCE)까지 가능해집니다.
CVE-2026-109444 취약점 개요 및 영향 범위
OpenSRE는 Grafana와 Loki 같은 관측성 도구의 알림과 인시던트를 분류하고, 이에 따른 복구 조치까지 수행하도록 설계된 오픈소스 AI SRE 에이전트입니다. 자동화된 복구는 운영 효율을 높여주지만, 제어 권한이 제대로 관리되지 않으면 심각한 보안 위협으로 돌변합니다.
이번에 식별된 CVE-2026-109444 취약점은 AI 에이전트가 외부 입력값을 처리하는 과정에서 발생하는 프롬프트 인젝션(Prompt Injection) 메커니즘을 악용합니다. 공격자가 정교하게 설계한 프롬프트로 AI 에이전트의 지침을 조작하면, 원래는 관리자의 승인을 거쳐야 하는 ‘승인 게이트(Approval Gate)’가 무력화되고 임의의 명령어 실행이 가능해집니다.
해당 취약점의 영향 범위와 핵심 정보는 다음과 같습니다.
| 구분 | 상세 내용 |
|---|---|
| 취약점 식별 번호 | CVE-2026-109444 |
| 영향 버전 | OpenSRE 0.1.2026.10.19 이하 버전 |
| 취약점 명칭 | Approval Gate Bypass via shell_run Prompt Injection |
| 위험 결과 | 승인 게이트 우회 및 원격 코드 실행(RCE) |
기술적 분석: shell_run 프롬프트 인젝션과 RCE 경로
이 취약점은 AI 에이전트가 사용하는 도구 중 하나인 shell_run과 승인 체계 사이의 허점을 파고듭니다. 보통 SRE 자동화 워크플로우라면 위험도가 높은 쉘 명령어를 실행할 때 반드시 인간 운영자의 승인을 받는 게이트웨이가 들어서 있기 마련입니다. CVE-2026-109444는 바로 이 과정을 건너뛰는 공격 경로를 제시합니다.
1. 기술적 전제 조건
취약점이 유효하게 작동하려면 시스템 구성상 다음과 같은 전제 조건이 갖춰져야 합니다.
- 액션 에이전트가
shell_run도구에 상시 접근할 수 있는 구조여야 합니다. 접근 제어를 엄격하게 걸어 두면 공격 표면이 좁혀지지만, 기본적으로 접근을 허용한 구성이라면 취약점 영향권에 들어갑니다.
2. 공격 메커니즘 및 실행 사슬
Lasso Security는 이 취약점을 “OpenSRE Prompt Injection to RCE”로 정의하며, 단순한 입력값 조작이 어떻게 시스템 전체의 권한 탈취로 이어지는지 분석했습니다.
- 프롬프트 인젝션 유입: 공격자는 AI 에이전트가 처리하는 입력 데이터에 특수한 지시어를 심어 에이전트의 원래 시스템 프롬프트를 덮어쓰거나 조작합니다.
- 승인 게이트 우회: 조작된 프롬프트는 AI 에이전트가 ‘승인 단계’를 생략한 채 곧바로
shell_run도구를 호출하도록 유도합니다. - 원격 코드 실행(RCE) 달성: 승인 없이 실행된
shell_run명령어로 공격자는 대상 서버에서 임의의 쉘 명령어를 실행할 수 있으며, 결국 원격 코드 실행(RCE)으로 이어집니다.
대응 방안 및 확인 사항
DevOps와 보안 엔지니어라면 현재 운영 중인 OpenSRE 환경에서 다음 사항을 즉시 점검합니다.
확인 및 조치 리스트
- 버전 확인: 현재 사용 중인 OpenSRE 버전이 0.1.2026.10.19 이하인지 먼저 확인합니다.
- 권한 설정 검토: 액션 에이전트가
shell_run도구에 무조건 접근하도록 설정돼 있는지 검토합니다. 불필요한 도구 접근 권한은 최소 권한 원칙(Principle of Least Privilege)에 따라 정리하는 게 좋습니다. - 입력값 검증 체계 분석: AI 에이전트로 유입되는 데이터 중 외부에서 제어 가능한 입력값이 있는지, 그 입력값이 프롬프트 인젝션에 취약한 구조인지 짚어봅니다.
확인되지 않은 영역에 대한 주의사항
현재 제공된 근거 자료만으로는 다음 영역이 명확히 확인되지 않아 운영 시 주의가 필요합니다.
- 구체적인 인젝션 경로: 프롬프트 인젝션이 발생하는 정확한 입력 채널(예: 특정 API 엔드포인트나 UI 입력창 등)은 명시되지 않았습니다.
- 공식 패치 버전: 취약 영향 버전(0.1.2026.10.19 이하)은 확인되었으나, 이를 완전히 해결한 공식 수정 버전이나 구체적인 업데이트 가이드는 제공되지 않은 상태입니다.
- 실제 악용 사례: PoC(Proof of Concept)는 존재하나, 실제 야생(In-the-wild)에서 악용된 사례나 CISA KEV(Known Exploited Vulnerabilities) 등재 여부는 확인되지 않았습니다.
보안 담당자는 공식 패치 업데이트 공지를 꾸준히 지켜보는 동시에 shell_run 도구의 접근 제어를 강화하고, AI 에이전트의 실행 로그를 정밀하게 들여다봐 비정상적인 명령어 실행 여부를 감시하는 것이 지금으로서는 최선입니다.