AI 게이트웨이가 공격면이 된다 — LiteLLM의 KEV 등재와, 키와 MCP와 클라우드를 지나는 경로
BerriAI LiteLLM의 MCP 인증 우회(CVE-2026-59822)가 CISA의 KEV 카탈로그에 올랐고, Microsoft는 공격자가 LiteLLM 게이트웨이로 XMRig를 전달한다고 보고한다. Wiz의 연구는, 공개 인스턴스 ~3,000개 가운데 대략 10개 중 1개가 기본 키 sk-1234를 받아들이거나 인증 없이 동작했음을 밝혔다. 본고는 AI 인프라가 자격 증명의 보관함이라는 것이 무엇을 뜻하는지 살핀다.
이 글은 기계 번역입니다.
2026년 9월, CISA는 BerriAI LiteLLM의 MCP 인증 우회인 CVE-2026-59822를 Known Exploited Vulnerabilities(KEV) 카탈로그에 추가했다(9월 2일, Wiz의 시간선에 따름). 이 결함은 임의의 Bearer 토큰으로 LiteLLM의 MCP Streamable HTTP 엔드포인트에서 유효한 인증 세션을 맺게 하며, 9월 초의 KEV 갱신에서 SonicWall SMA 1000과 Sangoma Switchvox를 포함한 다른 악용 결함 6건과 나란히 등장했다(The Hacker News에 따름). LiteLLM은 구성된 모든 LLM 제공자의 API 키를 쥐고 있는 오픈소스 AI 게이트웨이이며, Wiz의 추정으로는 클라우드 환경의 대략 3분의 1에 있다.
사실: (1) Wiz의 연구(9월 9일 공개)는, 인터넷에 면한 LiteLLM 인스턴스 대략 3,000개 가운데 약 9.6%가 기본 마스터 키 sk-1234를 받아들이거나 인증을 전혀 요구하지 않음을 밝혔다. 인증이 구성되지 않은 인스턴스에서는 모든 사용자에게 기본으로 PROXY_ADMIN이 부여되어, 자격 증명 없이 관리 기능에 닿았다(이후 수정됨). (2) 관리자 권한이 있으면, 공격자는 pass-through 엔드포인트 기능으로 임의의 내부 URL(AWS 메타데이터 서비스도 여기에 포함된다)에 요청을 프록시할 수 있고, x-pass- 헤더 전달 메커니즘은 IMDSv2의 세션 토큰 요건을 깨뜨려 클라우드 IAM 자격 증명의 탈취를 가능하게 한다. (3) 9월에 Microsoft는, 공격자가 CVE-2026-42271과 CVE-2026-48710(Starlette의 “BadHost” 인증 우회)을 이어 붙여 LiteLLM 게이트웨이에 들어가고, ELF 바이너리로 XMRig 채굴기를 전달했다고 보고했다(The Hacker News에 따름). 한편 노출된 RAGFlow 인스턴스에 대한 공격이 남긴 것은 랜섬웨어가 아니라, 탈취된 LLM 제공자 키와 메타데이터였다.
분석(사실과 분리): 이 이야기들이 보여 주는 것은, AI 게이트웨이가 남의 API 예산을 쓰는 “LLMjacking” 단계를 지나, 정식의 클라우드 침입 경로가 되었다는 점이다. LiteLLM은 추론 요청마다 서버 측 Python을 실행하고, 요청을 임의의 내부 URL로 프록시할 수 있으며, MCP로 외부 도구에 연결한다. 그것은 단지 키의 보관함이 아니다. 실행 능력을 가진 채 내부 네트워크로 들어가는 다리다. 방어자가 “AI이니 내부에 두자”는 설계 원칙 아래 치워 두고 싶어 하는 자산이, 공격자에게는 인증 우회 하나 뒤에서 키와 IAM과 내부 API로 가는 여러 단계의 경로가 된다. 개발자 경험을 위해 짜인 기본값(sk-1234, 구성하지 않았을 때의 PROXY_ADMIN)과 프로덕션 배포 사이의 구조적 간극은, 그 자체로 이름 붙일 만하다.
방어자에 대한 함의: (1) LiteLLM을 운영한다면, 먼저 v1.84.0 이상(CVE-2026-59822 수정)과 v1.83.7 이상(CVE-2026-42271 수정)으로 올리고, Starlette 1.0.1 이상으로 올린다. 기본 마스터 키를 바꿨는지, 인스턴스가 인터넷에 노출되어 있지 않은지 확인한다. (2) 노출이 확인되는 순간, 저장되어 있는 제공자 API 키를 모두 침해된 것으로 보고 교체하고, 키가 빠져나갔을 때의 피해를 제한하도록 지출 한도를 둔다. (3) 임의의 코드 실행이나 임의의 URL 프록시를 수반하는 기능, 곧 MCP와 pass-through 엔드포인트는, 에이전트 수준의 권한으로 보아 따로 점검하고 기본은 끈다. (4) 다른 AI 게이트웨이와 LLM 오케스트레이터도 같은 시각으로 감사한다. 기본 자격 증명, 노출된 관리 기능, 내부 URL 프록시이다. 이것은 우리의 분석이며, 벤더의 안내가 아니다.
이 글의 사실은 주로 Wiz의 연구(https://www.wiz.io/blog/off-guard-breaking-litellm-from-authentication-bypass-to-cloud-compromise), BerriAI LiteLLM의 수정 릴리스(https://github.com/BerriAI/litellm/releases/tag/v1.83.7-stable), CISA KEV 카탈로그(https://www.cisa.gov/known-exploited-vulnerabilities-catalog)에서 가져왔고, The Hacker News의 보도를 이차로 두었다(https://thehackernews.com/2026/09/cisa-adds-5-actively-exploited.html 그리고 https://thehackernews.com/2026/09/cisa-adds-seven-exploited-flaws-as.html). 9월 2일의 KEV 날짜는 Wiz의 시간선을 따른다. 분석 부분은 사실의 보도와 분리해 둔다. 인스턴스 수와 클라우드 환경에서 차지하는 비중은, 측정한 때와 방법에 의존하는 추정치임에 유의한다.