2026년 9월 2일, 미국 CISA가 실제 공격이 확인된 취약점 목록(KEV 카탈로그)에 7건을 한 번에 올렸다. 주목할 건 그중 3건이 전부 AI 인프라라는 점이다. 워크플로 오케스트레이터 Kestra, LLM 프록시 LiteLLM, 아티팩트 저장소 JFrog Artifactory. 셋 다 AI 서비스를 만드는 회사라면 어딘가에서 한 번쯤 봤을 이름이다.
더 급한 건 시한이다. CISA가 연방기관에 준 조치 기한은 9월 5일 — 공고 사흘 뒤였다. 통상 3주를 주는 KEV에서 이 정도로 짧은 기한은 "이미 공격이 활발하니 당장 막아라"는 뜻이다.
세 취약점, 공통점은 '인증 우회'
- Kestra OSS — CVE-2026-49869 (CVSS 10.0): 인증 없이 원격에서 임의 워크플로를 만들고 실행할 수 있는 OS 명령 주입. 연구진은 이 취약점으로 암호화폐 채굴기를 심고 호스트의 컨테이너를 열거하는 침투를 실제로 관측했다.
- LiteLLM — CVE-2026-59822 (CVSS 8.8): MCP(Model Context Protocol) Streamable HTTP 엔드포인트의 인증 결함. 아무 Bearer 토큰이나 넣어도 인증된 MCP 세션이 열린다. 자격증명 탈취, 명령 실행, 채굴까지 이어진 공격이 보고됐다.
- JFrog Artifactory — CVE-2026-82329 (CVSS 9.8): 기본 설정에서 비인증 공격자가 관리자 권한을 얻는 인증 우회. 공개 나흘 만에 실제 공격이 관측됐고, 공격자는 관리자 토큰을 만들어 사용자·그룹·자격증명을 수집했다.
셋 다 "비밀번호를 뚫는" 공격이 아니다. 인증 절차 자체가 구멍이라, 인터넷에 노출돼 있으면 스캔 한 번에 찾혀서 그대로 털린다.
왜 하필 AI 인프라인가
이유는 단순하다. 지난 1~2년 사이 기업들이 AI 기능을 급하게 붙이면서, Kestra·LiteLLM 같은 오픈소스 인프라를 검증 없이 기본 설정으로 올린 곳이 많기 때문이다. 공격자 입장에서는 새로 열린 문이 가장 무르다.
특히 LiteLLM 건은 시사점이 크다. MCP는 AI 에이전트가 외부 도구와 통신하는 프로토콜인데, 이 연결 고리의 인증이 뚫리면 AI가 쓸 수 있는 모든 도구와 자격증명이 공격자 손에 넘어간다. AI 에이전트의 도구 남용 위험은 AI 에이전트 보안 글에서 다뤘던 그대로다. 이제는 이론이 아니라 KEV에 오른 현실이다.
지금 확인할 것 (10분 체크리스트)
- 우리가 쓰는지부터 확인 — Kestra, LiteLLM, Artifactory가 사내 어디에 떠 있는지 모른다면 그게 첫 번째 문제다. 개발팀이 PoC로 올려둔 인스턴스가 가장 위험하다.
- 인터넷 노출 여부 — 해당 서비스 포트가 외부에서 접근되는가? 내부망 전용이어야 할 관리 콘솔이 공인 IP에 열려 있는 경우가 실제 침해의 대부분이다.
- 버전 업그레이드 — 세 프로젝트 모두 패치가 나와 있다. KEV 등재 = 익스플로잇이 돌고 있다는 뜻이므로 "다음 배포 때"가 아니라 지금 올려야 한다.
- 침해 흔적 점검 — Artifactory라면 낯선 관리자 토큰·계정 생성 이력, Kestra라면 만든 적 없는 워크플로, 호스트라면 CPU를 점유하는 채굴 프로세스를 확인하라.
AI를 붙인 서비스라면, 공격 표면이 이미 달라졌다
AI 기능을 붙인 순간 여러분의 공격 표면에는 LLM 프록시, 벡터 DB, 오케스트레이터, MCP 서버 같은 새 구성요소가 추가된다. 기존 웹 취약점 점검만으로는 이 레이어가 보이지 않는다. SENTRIX의 AI 심화 취약점 진단은 이런 AI 스택의 인증·권한·프롬프트 경로까지 실제 공격자 관점에서 확인한다.
우선 우리 서비스가 밖에서 어떻게 보이는지부터 확인하고 싶다면, 30초 무료 스캔으로 시작하면 된다. 사업자가 운영하는 웹 서비스 1개는 AI 웹진단을 1회 무료로 받아 볼 수 있다(전문가 요약 리포트 포함). 기업 무료 1회 AI 웹진단 신청하기