하드웨어 보안 격리의 맹점: SGLang RCE 취약점으로 드러난 NEAR AI 침해 사고 분석
오픈소스 추론 엔진 SGLang의 원격 코드 실행 취약점이 TEE 기밀 컴퓨팅 환경을 뚫고 18개 에이전트와 100여 명의 계정 정보를 유출시킨 경로를 해부한다.
발행일: 2026.11.11
공식 사이트 확인계정 메타데이터 및 에이전트 대화 로그 탈취
엔진 내부 RCE로 인클레이브 메모리 직접 접근
비인가 에이전트 실행 로그 내 키 평문 기록
오픈소스 대규모 언어 모델(LLM) 추론 엔진 SGLang에서 발생한 원격 코드 실행(RCE) 취약점으로 인해 NEAR AI 추론 인프라가 침해당했다. 공격자는 추론 서버에서 임의 코드를 실행하고 당일 처리된 프롬프트 요청을 가로챘다.
특히 하드웨어 신뢰 실행 환경(TEE)을 적용한 기밀 모드(Confidential Mode) 인스턴스까지 접근 권한이 뚫렸다. 하드웨어 레벨의 암호화 격리 기술을 구축하더라도 그 위에서 구동되는 프레임워크 자체의 보안 결함은 방어할 수 없다는 인프라 설계의 취약점이 입증되었다.
추론 엔진 단일 RCE 결함에서 레거시 시스템 자격증명 탈취까지의 흐름
TEE 내부 추론 서버에 임의 코드 실행 및 실시간 프롬프트 가로채기
서비스 종료(Deprecated)된 Private Chat 백엔드 데이터베이스 접근
비-TEE 환경 18개 에이전트 대화 로그 및 API 키 탈취
하드웨어 TEE 격리를 무력화한 인클레이브 내부 런타임 익스플로잇
이번 사고에서 가장 주목할 기술적 지점은 TEE(Trusted Execution Environment) 인클레이브 내부에서 공격 코드가 실행되었다는 사실이다. NEAR AI의 기밀 모드는 클라우드 운영자조차 사용자 요청을 들여다볼 수 없도록 인메모리 암호화를 강제하는 하드웨어 격리 체계였다. 그러나 TEE는 인클레이브 외부의 무단 침입을 차단하는 기술이지, 인클레이브 내부 프로세스가 유발하는 애플리케이션 취약점까지 방어하지 못한다.
SGLang 런타임 엔진이 TEE 내부에서 구동되면서, 공격자가 주입한 RCE 페이로드는 하드웨어 경계 안쪽의 복호화된 메모리에 직접 도달했다. 이로 인해 침해 당일 해당 서버를 거쳐간 프롬프트와 생성 텍스트가 공격자에게 실시간으로 노출되었다. 인프라 계층의 물리적·암호학적 분리가 상위 레이어의 소프트웨어 보안성을 보장하지 못한다는 사실이 확인되었다.
공격자는 추론 엔진 진입에 성공한 이후 즉각 내부 네트워크로 횡적 이동(Lateral Movement)을 감행했다. 공식 서비스 종료 후 폐기 수순을 밟고 있던 레거시 시스템인 ‘Private Chat’ 백엔드가 2차 침해 표적이 되었다. 비활성화된 서비스라도 물리적 네트워크가 완전히 격리되지 않으면 심각한 침투 교두보로 전락함을 보여준다.
시스템 영역별 데이터 유출 현황과 엔터프라이즈 영향도 비교
공격자가 접근한 내부 인프라는 크게 세 영역으로 구분된다. 실시간 추론 트래픽이 통과한 TEE 인스턴스, 폐기된 Private Chat 백엔드, 그리고 TEE가 적용되지 않은 구형 에이전트 클러스터다. 각 시스템이 취급한 데이터의 성격과 격리 수준에 따라 피해 규모가 갈렸다.
| 인프라 영역 | 구동 환경 및 보안 계층 | 유출 확인 데이터 | 리스크 수준 및 기업 조치 |
|---|---|---|---|
| 신규 추론 서버 (Active) | 하드웨어 TEE 기밀 모드 적용 | 침해 당일 처리된 실시간 프롬프트 요청 | 높음 (패치 적용 및 인스턴스 초기화) |
| Private Chat (Deprecated) | 사내 내부망 레거시 백엔드 | 사용자 100여 명 계정 정보 (이메일·이름·잔액) | 중간 (서비스 완전 폐쇄 및 계정주 통보) |
| 구형 AI 에이전트 배포군 | 비-TEE 일반 인스턴스 | 18개 에이전트 로그, 대화 기록, 설정값 | 높음 (토큰 재발급 및 세션 강제 종료) |
| 자격증명 관리 영역 | 애플리케이션 로그 파이프라인 | 고객용 NEAR AI Cloud API 키 2건 노출 | 치명적 (노출 키 즉시 취소 및 크리덴셜 회전) |
Private Chat 데이터베이스에서는 약 100명의 계정 메타데이터가 외부로 유출되었다. 대화 내용이나 업로드 파일 자체는 탈취되지 않았으나 사용자 이메일, 이름, 계정 플랜, 크레딧 잔액 정보가 포함되었다.
더 심각한 데이터 노출은 TEE 격리가 누락되었던 18개의 구형 AI 에이전트 환경에서 발생했다. 공격자는 설정값과 과거 대화 로그를 확보하는 과정에서 애플리케이션 로그에 평문으로 남겨져 있던 기업 고객 2곳의 클라우드 API 키를 탈취했다. 민감 자격증명이 로그 파일에 노출되는 기본적인 감사 결함이 시스템 침해와 결합되어 2차 위험을 유발했다.
레거시 스택 잔존과 TEE 과신이 초래한 보안 운영 리스크
이번 침해 사고는 엔터프라이즈 AI 파이프라인 구축 시 흔히 범하는 두 가지 구조적 맹점을 드러낸다. 첫째는 레거시 서비스의 불완전한 폐기이며, 둘째는 TEE 기술에 대한 맹신이다.
호스트 분리 이점 대비 상위 런타임 결함 관리의 중요성
- + 클라우드 호스트 OS 및 하이퍼바이저 탈취 공격 차단
- + 물리적 메모리 덤프 스누핑에 대한 인메모리 암호화 보호
- + 클라우드 제공자 내부자의 데이터 접근 원천 무력화
- – 인클레이브 내부 소프트웨어(SGLang 등)의 RCE 취약점
- – 내부 취약점 악용을 통한 평문 프롬프트 메모리 접근
- – 컨테이너 권한 탈취 후 내부망 대상 횡적 이동 확산
기업들은 새로운 격리 기술을 도입하면서도 기술 부채로 남은 구형 배포군을 방치하는 경향이 있다. NEAR AI의 경우 최신 모델 추론에는 TEE를 선제 적용했으나, 구형 에이전트 스택과 종료된 서비스는 방치 수준으로 연결되어 있었다. 공격자는 최신 추론 노드의 결함을 뚫고 들어와 가장 취약한 레거시 백엔드를 털어내는 전형적인 우회 경로를 택했다.
또한 브라우저 제조사 Brave를 비롯한 서드파티 기업과의 신뢰 관계에도 균열이 발생했다. Brave는 자체 AI 비서인 Leo의 GLM 5.3 Flash 모델을 NEAR AI의 TEE 위에서 구동한다고 밝힌 바 있다. 공급망 파트너사의 추론 인프라가 침해당할 경우 고객사 프롬프트가 언제든 노출될 수 있다는 공급망 리스크가 현실화되었다.
오픈소스 AI 추론 스택 도입 및 TEE 인프라 방어 체크리스트
오픈소스 추론 엔진(SGLang, vLLM 등)을 프로덕션에 도입하는 엔지니어링 조직은 인프라 격리만으로 컴플라이언스를 달성할 수 없음을 인지해야 한다. 하드웨어 TEE는 네트워크 제어, 제로 트러스트 권한 격리, 애플리케이션 취약점 진단이 결합될 때만 유효하다.
엔진 레이어부터 네트워크 격리까지 필수 방어 대책
SGLang 등 서드파티 엔진 최신 패치 적용 및 최소 권한 컨테이너 격리
추론 워커 노드와 내부 DB·레거시 시스템 간 네트워크 세그멘테이션
실행 로그 내 API 키·토큰 평문 저장 방지 필터 의무화
인프라 보안 리더는 다음 기준에 따라 자사 AI 추론 환경을 즉시 점검해야 한다.
- 추론 워커의 마이크로 세그멘테이션: 추론 노드는 오직 요청 수신 게이트웨이 및 모델 저장소와만 통신해야 한다. 내부 데이터베이스, 인증 서버, 기타 관리 콘솔로의 아웃바운드 트래픽은 기본 차단(Default Deny) 규칙을 적용한다.
- 수명 종료(EOL) 자산의 완전 제거: 서비스 중단이 결정된 소프트웨어와 백엔드 서버는 즉시 네트워크 인터페이스를 다운시키고 인프라 풀에서 완전히 회수해야 한다. 사내망 내부에 방치된 비활성 엔드포인트는 침해 사고 시 가장 손쉬운 내부 거점이 된다.
- 애플리케이션 로그 유출 방지(DLP) 구축: LLM 에이전트와 추론 파이프라인의 입출력 로그에서 API 토큰, 인증 헤더, 세션 정보가 평문으로 기록되지 않도록 정규식 기반 마스킹 처리를 필수 파이프라인에 통합한다.
- 오픈소스 프레임워크 의존성 감사: SGLang, vLLM과 같은 고속 추론 라이브러리는 최적화를 위해 C++/CUDA 네이티브 바인딩 및 복잡한 직렬화 코드를 포함한다. 정기적인 SAST(정적 분석) 및 컨테이너 이미지 무결성 감사를 거치지 않은 엔진을 TEE 인클레이브에 단독 배치해서는 안 된다.