📊 W41 주간 IT 트렌드 (10/5–10/11) 이번 주의 한 줄: 로컬에 띄워 둔 AI 런타임이 한꺼번에 공격면으로 정리된 주였다. Ollama에 무인증 경로 탐색(CVSS 9.4)이 공개됐고, MCP 관련 CVE가 52건(8.0+ 15건) 쏟아지며 공식 TypeScript·Kotlin SDK까지 권고를 받았고, Hermes Agent의 hooks 설정을 주입하면 승인 없이 셸이 돌아가는 CVE가 나왔다. Critical은 없었다. 같은 주 CISA가 10개국 합동으로 올린 악용 목록은 전부 2015~2023년 구 CVE였다 — 점수가 아니라 방치 기간이 위험을 만든다. 이번 주 먼저 1. 로컬 LLM 런타임(Ollama 등) 버전을 확인 → 0.34.2~0.35.0 구간이면 0.35.0 이상으로 올리고, 올리기 전 리스너가 127.0.0.1을 벗어나지 않았는지·모델 저장소 밖 예상 밖 파일이 없는지 확인 (10/16) 2. AI 에이전트·코딩 어시스턴트 config에 쓰기 가능한 주체(대시보드·게이트웨이·플러그인·IDE 설정)를 세고, hooks_auto_accept 같은 승인 우회 설정을 유지할지 결정 — 유지하면 "파일 쓰기 = 승인 없는 실행"을 받아들인 근거를 남긴다 (10/16) 3. 자산 목록 밖까지 BIND·ProFTPD·Apache Struts·ONLYOFFICE·Strapi·Pulse Connect Secure·self-managed GitLab 유무를 센다 → 있으면 CISA AA26-281A STIX IOC로 침해 여부 확인 (10/16) —— AI —— ──────── ▣ MCP 관련 CVE 한 주에 52건 — Langflow 9.9 두 건에 공식 TypeScript·Kotlin SDK까지 (10/5–10/11) 핵심: NVD 대상 주차 발행분에서 설명에 MCP가 등장하는 CVE가 52건, CVSS 8.0+가 15건이다. Langflow는 Stdio 전송이 사용자 command/args를 검증 없이 bash -c로 넘겨 CVE-2026-105697·CVE-2026-105740(둘 다 9.9). 전자는 AUTO_LOGIN 기본값에서 무인증, 후자는 인증된 아무 사용자. 수정은 각각 1.10.3·1.9.0. 공식 SDK도 두 건 — TypeScript SDK OAuth 클라이언트가 접속한 MCP 서버가 인가 서버를 지정하도록 허용해 refresh_token·client_secret이 새는 CVE-2026-104850(7.5, 수정 @modelcontextprotocol/sdk 1.31.0), Kotlin SDK가 maxFrameSize 없이 WebSocket을 열어 메모리 고갈 CVE-2026-108714(8.7). OX Security는 계열 권고에서 Claude Code·Cursor·Gemini-CLI·Copilot도 같은 설계인데 "사용자 승인 1회를 요구하므로 취약점으로 치지 않는다"고 적었다 — Windsurf만 CVE를 받았다. 왜 중요한가: 개별 제품 결함이 아니라 전송 방식의 설계 결과다. Stdio의 의미가 "설정에 적힌 명령을 실행한다"이므로 MCP 서버 설정을 쓸 수 있는 권한 = 코드 실행 권한이다. 그 사실이 서드파티를 넘어 공식 SDK 두 개의 권고로 올라왔고, 계열 전체의 안전장치가 "사람이 한 번 승인한다"는 가정 하나에 걸려 있다. 같은 주 커뮤니티 MCP 논의는 전부 활용 쪽이었고 이 CVE들은 한 건도 언급되지 않았다. 출처: https://www.ox.security/blog/mcp-supply-chain-advisory-rce-vulnerabilities-across-the-ai-ecosystem ──────── ▣ Hermes Agent 설정 주입으로 승인 없는 셸 실행 — 9router CVE가 공개한 성립 조건 (10/10) 핵심: VulnCheck가 발행한 CVE-2026-108593(CVSS 4.0 7.3). 대상은 서드파티 대시보드 9router 0.4.1~0.5.99인데, POST /api/cli-tools/hermes-settings가 입력을 그대로 YAML에 써서 인증된 사용자가 baseUrl에 쌍따옴표·개행을 넣어 Hermes config.yaml에 임의 키를 주입할 수 있다. 권고가 명시한 주입 대상이 hooks_auto_accept와 http://hooks.post_llm_call 셸 명령이다 — 그러면 LLM 호출 뒤에 그 명령이 승인 없이 실행된다. 9router를 쓰는지 여부가 핵심이 아니다. 이 CVE가 공개한 것은 "Hermes config.yaml에 쓸 수 있으면 승인 절차를 우회해 명령이 실행된다"는 성립 조건이다. 왜 중요한가: MCP 계열 권고가 IDE·코딩 어시스턴트를 "사용자 승인 1회를 요구하므로 취약하지 않다"고 본 바로 그 게이트를, 처리량을 위해 끄는 설정이 실무에서 흔하다. 공격자가 파일 쓰기를 얻은 뒤의 이야기라 초기 침투는 아니지만, hooks는 매 LLM·툴 호출마다 다시 돌고 auto_accept가 켜져 있으면 그때 아무것도 묻지 않는다 — 조용한 지속성이다. 출처: https://www.vulncheck.com/advisories/9router-0.4.1-through-0.5.99-config-injection-rce-via-hermes-settings-endpoint —— 클라우드·데이터센터·인프라 —— ──────── ▣ 에이전트 "봉쇄" 도구가 한 주에 네 곳 — Microsoft MXC 1.0.0 GA, macOS 프로세스 컨테이너 지원 (10/5–10/8) 핵심: Microsoft Execution Containers(MXC) 1.0.0 GA(10/7) — 모델 출력·플러그인·도구·에이전트를 담아 필요한 파일·네트워크 목적지를 선언하면 런타임이 경계를 강제한다. 컨테이너 종류는 process/session/WSL/MicroVM, 플랫폼은 Windows 11 전종·macOS(프로세스)·Linux(프로세스+실험적 MicroVM). 오픈소스(microsoft/mxc). 같은 주 Docker Agent(10/7), CNCF 「Don't give AI agents root. Make them propose the next system state.」(10/8), http://kubernetes.io 「Scaling Kubernetes Workloads with Node Swap」(10/5) — 에이전트 샌드박스 밀도를 1급 문제로 다루며 gVisor 파이썬 샌드박스 80→240 파드(+200%) 등 자체 측정치를 제시했다. 왜 중요한가: MCP·Hermes 설정 주입이 만든 문제에 대한 공급 쪽 응답이 한 주에 네 곳에서 동시에 나왔다. 공통 전제 — 에이전트가 실행하는 명령을 사람이 매번 승인하는 모델은 유지되지 않으니, 실행 가능한 범위를 사전에 선언·강제한다. MXC가 GA·오픈소스·macOS 프로세스 컨테이너를 지원한다는 조합은 "봉쇄 후보가 없다"는 변명이 이번 주부로 약해졌다는 뜻이다. 에이전트를 더 많이 돌리는 도구와 가두는 도구가 같은 주에 같은 속도로 나왔다. 출처: https://blogs.windows.com/windowsdeveloper/2026/10/07/microsoft-execution-containers-policy-driven-containment-for-ai-agents/ —— 보안·규제 —— ──────── ▣ CISA 10개국 합동 AA26-281A — 같은 날 KEV에 오른 5건이 전부 2015~2023년 구 CVE (10/8) 핵심: FBI·CISA·NSA에 영국 NCSC·호주 ASD ACSC·캐나다 Cyber Centre·일본 NPA·NCO·뉴질랜드 NCSC-NZ·스페인 CNI가 함께 AA26-281A를 발행했다. Integrity Technology Group이 자동 스캐너·대규모 봇넷·VPN·LOTL로 전 세계 조직에서 데이터를 탈취하고 있다는 내용. 권고가 적은 악용 CVE 8건 — Bash(2014)·ProFTPD(2015)·BIND(2015)·Struts(2016)·Pulse Connect Secure(2019)·GitLab(2021)·ONLYOFFICE(2021)·Strapi(2023). 이 중 5건(ProFTPD·BIND·Struts·ONLYOFFICE·Strapi)이 같은 날 KEV 신규 등재, 시정 기한 10/11(3일). 나머지 3건은 이미 등재돼 있었다. 같은 주 CVSS 8.0+가 872건 발행됐는데 악용 확인으로 기한이 붙은 것은 10년 전 버그들이었다. 왜 중요한가: 이번 주 KEV 등재 전체가 구 CVE다. 전부 인터넷에 노출된 채 방치된 오픈소스 서버·어플라이언스다. 스캐너가 뿜는 CVE 개수나 CVSS 상위 목록으로 우선순위를 정하면 이 다섯 건이 맨 아래로 간다. Strapi 건 KEV 설명문에는 "EoL/EoS일 수 있으니 사용 중단 또는 지원 버전으로 이전"이 붙어 있다 — 패치가 아니라 이전이 답인 항목이 악용 목록에 올라왔다. 공식 쪽의 "구 CVE가 지금 악용 중"과 커뮤니티 관심(덴마크 CPR 유출·Telegram·얀덱스)은 이번 주에도 겹치지 않았다. 출처: https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-281a —— 취약점·해킹 —— ──────── ▣ Ollama /api/pull 경로 탐색 CVE-2026-103663 — CVSS 9.4, 취약 범위 0.34.2~0.35.0 (10/8) 핵심: CERT Polska가 조정 공개. /api/pull이 레이어 다이제스트를 검증하지 않아 무인증 원격 요청자가 경로 탐색 시퀀스로 모델 저장소 밖에 파일을 쓸 수 있다(CWE-23). http://CERT.PL은 한 단계 더 — 서버 프로세스가 /usr/lib/ollama에 쓸 수 있으면(대부분의 Ollama 도커 이미지 기본값) 악성 파일을 심고 다음 재시작에 root로 로드·실행된다고 명시한다. 취약 범위 0.34.2~0.35.0, 수정 0.35.0. 제보자는 Bartłomiej Dmitruk(http://striga.ai). 공개 PoC·악용 관측 보고는 없고, 대상 주차 독립 분석·보안 매체·HN 논의도 거의 없었다. 왜 중요한가: 로컬 LLM 런타임의 사실상 표준이 공격면으로 정리된 건이다. 경로 탐색 쓰기와 root RCE 승격은 갈라서 봐야 한다 — 후자는 도커·/usr/lib/ollama 쓰기 가능 구성에 해당하고, 리스너가 127.0.0.1만이어도 같은 호스트의 다른 프로세스·브라우저가 연 페이지는 그 포트를 때릴 수 있다(CVSS 벡터 UI:P). "논쟁이 없다"가 "위험이 없다"는 뜻은 아니다. 출처: https://cert.pl/en/posts/2026/10/CVE-2026-103663/ —— 개발자·엔터프라이즈 —— ──────── ▣ 번아웃 62% → 핵심 OSS 11/23이 유지보수자 1~2명 → Deno 런타임 개발 종료 예고 (10/5–10/9) 핵심: 세 건이 한 사슬이다. State of Devs 2026(응답 5,463명) — 개발자 62%가 커리어 중 번아웃을 겪은 적 있고, AI에 대해 긍정 49% vs 부정 42%, 27% 이상이 5년 내 커리어 전환이 필요할 것으로 본다. 「인터넷을 떠받치는 사람들」 연구 — 휴대전화·브라우저·서버가 의존하는 오픈소스 23개 중 11개가 최근 1년 정기 작업을 1~2명이 한다. Deno 팀 Cloudflare 합류(10/9, HN 1,367점) — "앞으로 1년간 월간 릴리스로 버그·보안 업데이트를 제공한 뒤 Deno 런타임 개발을 종료한다." Deno Deploy는 6개월 더 운영 후 종료, JSR·rusty_v8은 계속. 왜 중요한가: 사람이 소진되고 핵심 프로젝트 작업이 1~2명에 몰리면 지원은 조직 차원에서 철수되고, 그 결과가 10년 전 CVE가 2026년 악용 목록에 오르는 상태(AA26-281A)다. Deno가 선명한 이유는 종료를 공식 문서로 월 단위 날짜와 함께 예고했다는 점 — 대부분의 유지보수 공백은 이런 공지 없이 조용히 온다. AI로 PR 생성 비용은 떨어졌지만 검토 비용은 유지보수자에게 남는 비대칭이 같은 주에 같이 읽혔다. 출처: https://deno.com/blog/cloudflare 한 줄로: 점수는 새 버그에, 악용은 구 버그에, 안전장치는 꺼 둔 승인에 걸려 있었습니다. 이번 주에 드러난 건 사람이 빠지는 자리입니다. #주간IT트렌드 #IT브리핑 #Ollama #MCP #Hermes #CISA #KEV #MXC #Deno #취약점 #AI에이전트 #Langflow