AI 클라우드 Bedrock·LangSmith 결함으로 데이터 탈취 RCE 현실화

Amazon Bedrock, LangSmith, SGLang 등 주요 AI 플랫폼의 보안 결함이 데이터 유출과 원격코드 실행을 허용하며 AI 생태계 전반 붕괴 위기

• Amazon Bedrock, LangSmith, SGLang 등 선도적 AI 서비스에서 발견된 중대 보안 취약점들은 인증 우회와 입력 검증 실패로 인해 공격자가 사용자 데이터를 무단 탈취하거나 서버에서 임의 코드 실행(RCE)을 가능하게 하며, 수백만 개발자와 기업의 AI 워크플로우를 노출시킵니다.
• 이 결함들은 API 엔드포인트의 부적절한 접근 제어와 프롬프트 인젝션 취약점으로 구성되어 있으며, 특히 Bedrock의 모델 추론 과정에서 민감한 학습 데이터가 외부로 유출되는 구조적 문제를 드러냅니다.
• LangSmith의 경우 세션 토큰 조작을 통해 타인 프로젝트에 침투할 수 있고, SGLang은 로컬 파일 시스템 접근을 악용해 호스트 서버 전체를 장악할 수 있어 클라우드 기반 AI 개발 환경의 근본적 위험을 증명합니다.
• 이번 사태는 AI 서비스 제공업체들의 보안 우선 개발(SDLC) 미흡을 여실히 보여주며, 글로벌 기업들이 대규모로 도입 중인 GenAI 인프라의 취약성이 국가 경제 안보 수준으로 확대 재생산될 가능성을 시사합니다.
• 취약점 공개 후 개발사들은 긴급 패치를 배포했으나 기존 배포된 인스턴스의 대량 노출로 인해 즉각적인 감사와 재설정이 요구되며, AI 규제 당국의 개입을 촉발할 전망입니다.
• 이 사건은 AI 기술의 폭발적 확산 속 보안 후행 문제를 상징하며, 표준화된 AI 보안 프레임워크 부재가 초래한 글로벌 리스크로 기록될 것입니다.

이번 사건은 AI 플랫폼이 단순 도구를 넘어 핵심 인프라로 자리 잡았다는 점에서 주목할 필요가 있다. 단기적으로는 공공기관 AI 도입 전 보안 감사 의무화, 중장기적으로는 국제 AI 보안 표준 제정과 인증 체계 도입이 필요하다.

출처: The Hacker News