2026-08 CleanSource 커뮤니티 월간 보안 인텔 요약

T1 MCP/Agent/AI: 처음부터 열린 신뢰 경계

8월 CSSA와 CVE에서 MCP, Agent, AI 런타임 관련 문제가 반복해서 나옵니다. 많은 보안 문제는 권한 제어와 관련되어 있고, 위험은 기본 설정에서 이미 존재하는 경우가 많습니다.

MetaMCP는 OAuth 자격 증명을 권한 초과로 읽고 상류를 사칭할 수 있고, modelcontextprotocol / python-sdk에는 프롬프트 인젝션과 SSRF가 있습니다. hermes-agent는 일련의 문제가 있습니다(프롬프트 인젝션, 샌드박스 끔, 승인 우회, 게이트웨이 인가 헐거움). Claude Code는 환경 변수 미이스케이프나 느슨한 명령 래핑으로 호스트를 다칩니다. 월말에도 같은 종류의 샘플이 이어집니다: ArgoCD MCP 무단 RCE, cc-connect 웹훅/관리 인터페이스 인증 부재+명령 인젝션, ToolUniverse 샌드박스 탈출, ash_ai / lmdeploy 같은 추론 구성요소의 RCE. 봐야 할 것은 개별 MCP Server만이 아닙니다. 프로토콜, SDK, 게이트웨이, 승인 흐름, CI/CD 플러그인, 추론 서비스가 한 사슬입니다.

T2 fail-open: 실패 후에도 통과

또 다른 경우는 이렇습니다. 안전 통제가 실패한 뒤에도 시스템은 통과시킵니다. CubeSandbox / CubeOps는 인증이 약하거나 없어 관리자 토큰을 위조할 수 있고, openssl_encrypt(CVE-2026-74901)는 AES-GCM 실패 후 무인증 AES-CTR로 떨어집니다. Apache Superset MCP는 예외를 삼켜 인증이 사실상 사라지고, hermes-agent에서는 승인 타임아웃이나 대화 모드를 모델이 장애로 건너뛸 수 있습니다. 리뷰에서는 항목마다 물으십시오. 복호화 실패, 인가 오류, 승인 타임아웃, 샌드박스 미기동—코드는 어느 분기로 갑니까?

T3 SSRF: 서버가 URL을 대리 조회함

이번 달 SSRF도 적지 않습니다. SeaweedFS, Semantica, better-auth, TencentDB-Agent-Memory, sub2api, python-sdk, Adobe Campaign 등이 관련됩니다. 공통점은—서버가 사용자나 Agent를 대신해 URL을 요청하고, 검사는 표면에 머물며 리다이렉트나 헤더 위조로 우회할 수 있다는 것입니다. 크롤·미리보기·프록시 다운로드·이미지 가져오기·Webhook 콜백은 설계 단계부터 고위험 면으로 보고, CVE가 나온 뒤에야 보완하지 마십시오.

T4 공급망 투독: 스코프, 혼동 이름, 온체인 C2

투독 212건 대부분이 npm입니다. 여러 형태가 반복됩니다. 스코프 패키지 일괄 게시, 기업 내부명의 공용 레지스트리 선점(예를 들어 sm-* 커머스 모듈, internallib_v*), @syncraft-labs/* EtherHiding(이더리움 거래에서 디코드 실행, C2는 체인 위, 레지스트리 삭제로는 지워지지 않음), 고버전 위장과 안티디버그. 일별 차단 목록만으로는 부족하고, 패턴 라이브러리가 필요합니다: 스코프 가족, 혼동 이름, 온체인 페이로드, 사설명 충돌.