Microsoft, Azure AI Foundry 치명적 결함 패치

Azure AI Foundry의 최고위험 취약점 패치가 무단 권한 상승 차단으로 이어졌다

• Microsoft는 Azure AI Foundry의 CVE-2026-85889에 대한 수정안을 배포했다. 이 결함은 인증이 빠진 핵심 기능을 통해 원격 공격자가 권한을 올릴 수 있는 구조였으며, 현재는 패치로 막혔다.
• Azure AI Foundry는 생성형 AI 애플리케이션과 에이전트를 구축·배포·관리하는 기업용 플랫폼이다. 이 취약점은 플랫폼 자체의 접근통제 신뢰를 흔들 수 있어, AI 서비스 운영 권한의 경계 관리가 핵심 과제로 드러났다.
• Microsoft는 이 결함을 보고한 보안 연구원 Rémy Marot에게 공을 돌렸고, 악용 흔적은 확인되지 않았다고 밝혔다. 클라우드형 결함은 대개 공급자 측에서 해소되므로 이용자는 별도 조치가 필요 없다는 점도 함께 확인됐다.
• CVE-2026-85889는 CVSS 10.0으로 분류됐고, Microsoft는 지난주에만 974개의 취약점을 패치했다고 밝혔다. 같은 시기 Windows ALPC와 Windows Update Stack 취약점은 실제 악용 단계에 들어가, 대응 우선순위가 높아졌다.
• Azure AI Foundry 같은 클라우드 AI 플랫폼의 결함은 이용기관의 데이터와 에이전트 권한을 한꺼번에 위협한다. 한국의 공공·산업 AI 도입도 공급자 패치 속도와 권한 분리를 전제해야 하며, 조달 기준에 반영할 필요가 있다.
• 마이크로소프트의 974건 패치와 CVSS 10.0 사례는 AI 서비스 운영이 보안예외가 아니라는 신호다. 한국 정책은 AI 플랫폼 인증, 최소권한, 공급망 검증을 기본 요건으로 두고, 취약점 공지 연계를 강화해야 한다.

공공과 산업의 AI 도입 사업은 클라우드 공급자 패치만 믿지 말고, 권한 분리·인증 점검·취약점 통지 절차를 계약과 감사 기준에 넣어야 한다. 특히 생성형 AI 플랫폼은 서비스 계정 통제가 곧 국가 데이터 통제라는 점을 전제로 관리해야 한다.

주요 용어: 권한 상승(낮은 권한 계정이 더 높은 권한을 얻는 공격), CVSS(취약점 위험도를 0~10으로 수치화한 기준), 인증 부재(접근 권한 확인 절차가 없는 상태)

출처: The Hacker News