오픈소스 AI 게이트웨이(여러 AI 서비스에 요청을 중계해 주는 소프트웨어)인 Bifrost에서 심각한 보안 취약점(CVE-2026-90898, CVSS 9.8)이 발견되었습니다. 공격자는 아이디·비밀번호 같은 인증 절차 없이 HTTP 요청 하나만으로 게이트웨이 서버에서 원하는 명령을 실행할 수 있으며, 이 과정에서 연결된 모든 AI 서비스(OpenAI, Anthropic 등 LLM 제공업체)의 API 키를 통째로 탈취할 수 있습니다. 기본 설정에서 인증이 꺼져 있고, 공식 Docker 이미지는 외부에서 접근 가능한 상태로 동작해 실제 피해 위험이 높습니다. 수정 버전(transports/v2.1.0)이 이미 출시되었으므로 즉시 업그레이드해야 하며, 인증 없이 외부에 노출된 이력이 있다면 모든 API 키를 즉시 교체해야 합니다.
Bifrost AI 게이트웨이에서 CVE-2026-90898(CVSS 9.8) 취약점 발견. 인증되지 않은 공격자가 관리 API에 단일 POST 요청만으로 게이트웨이 서버에서 임의 명령을 실행할 수 있음. 관련 플러그인 취약점 CVE-2026-86242(CVSS 8.1)도 함께 공개.
공격자가 게이트웨이에 등록된 20개 이상 LLM 제공업체의 API 키를 모두 탈취 가능. 공식 Docker 이미지는 0.0.0.0에 바인딩되어 컨테이너 외부에서도 직접 접근할 수 있어 피해 범위가 더 넓음.
관리 API의 인증 기능이 기본값으로 비활성화되어 있어, stdio 타입 MCP 클라이언트 등록 요청 시 핸드셰이크나 검증 없이 즉시 명령이 실행됨. 두 취약점 모두 동일한 설계상 원인을 공유.
transports/v2.1.0으로 즉시 업그레이드. 업그레이드가 어려우면 governance.auth_config.is_enabled를 true로 설정하고 강력한 자격증명 사용, 관리 리스너를 신뢰할 수 없는 네트워크에서 차단. 인증 비활성화 상태로 노출된 이력이 있으면 가상 키 및 모든 제공업체 API 키를 교체.
Bifrost를 운영 중이고 관리 API가 인증 없이 외부에 노출된 적 있다면 즉시 침해 사고로 간주하고 API 키를 전수 교체해야 함. 비슷한 설계 결함(기본 인증 비활성화)이 LiteLLM 등 다른 AI 게이트웨이에서도 실제 악용 사례로 이어진 전례가 있으므로 사내 AI 인프라 전반의 인증 설정을 점검할 필요가 있음.
본문
Swati Khandelwal · 2026년 9월 22일 · 인공지능 / 취약점
20개 이상의 LLM 제공업체로 요청을 라우팅하는 오픈소스 AI 게이트웨이 Bifrost에서 치명적인 취약점이 발견됐다. 인증되지 않은 공격자가 HTTP 요청 단 하나만으로 게이트웨이 서버에서 임의 명령을 실행할 수 있다.
CVE-2026-90898(CVSS 점수: 9.8)로 추적되는 이 결함은 관리 인증이 비활성화된 경우(이것이 기본 설정이다) Bifrost HTTP 트랜스포트 2.1.0 이전 모든 버전에 영향을 미친다. 수정 버전은 transports/v2.1.0에서 제공된다.
이 결함을 발견한 JFrog Security Research의 Yuval Moravchick에 따르면, 공격자는 관리 API 엔드포인트 /api/mcp/client에 인증 없이 단일 POST 요청을 보내 stdio 타입의 MCP 클라이언트를 등록할 수 있다. Bifrost는 MCP 핸드셰이크 전에 게이트웨이 프로세스 사용자 권한으로 지정된 명령을 즉시 실행한다.
공식 Docker 이미지에서 해당 사용자는 appuser이다. 게이트웨이는 연결된 모든 제공업체의 API 키를 저장하므로, 게이트웨이 프로세스에서 명령을 실행하면 공격자가 해당 자격증명에 접근할 수 있게 된다.
기본 Bifrost 바이너리는 관리 API를 기본값으로 localhost에 바인딩하여 로컬 머신으로 노출을 제한한다. 그러나 공식 Docker 이미지는 0.0.0.0에 바인딩되므로, 포트가 게시된 경우 컨테이너 외부에서 관리 API에 접근할 수 있다.
운영자는 transports/v2.1.0으로 업그레이드해야 한다. 이 버전은 인증되지 않은 호출자가 stdio MCP 클라이언트를 등록하려 할 때 403을 반환한다. 즉시 업그레이드할 수 없는 경우에는 governance.auth_config.is_enabled를 true로 설정하고, 강력한 자격증명을 사용하며, 관리 리스너를 신뢰할 수 없는 네트워크에서 차단해야 한다.
JFrog는 인증이 비활성화된 채로 관리 API가 외부에 노출된 이력이 있는 인스턴스는 침해된 것으로 간주하고, 가상 키와 제공업체 API 키를 모두 교체할 것을 권고한다.
transports/v2.0.0을 사용 중인 운영자도 MCP 결함의 영향을 받는다. 해당 릴리스는 이전 플러그인 취약점만 수정했을 뿐 비인증 등록을 차단하지 않는다. 1.6.11까지의 1.6.x 버전에는 두 수정 사항이 모두 포함되어 있지 않다.
동일 연구팀의 Or Peles가 발견한 두 번째 관련 결함은 9월 6일 공개됐다. CVE-2026-86242(CVSS 점수: 8.1)는 인증되지 않은 공격자가 경로를 HTTP URL로 지정한 커스텀 플러그인을 등록할 수 있게 한다. Bifrost는 해당 파일을 다운로드하여 임시 공유 객체로 쓴 뒤 Go의 plugin.Open 함수를 통해 로드한다.
Bifrost가 커스텀 Go 플러그인에 요구하는 동적 링크 빌드에서는 플러그인이 로드되고 코드가 게이트웨이 프로세스 사용자 권한으로 실행된다. 공식 Docker 이미지를 포함한 정적 링크 빌드에서는 plugin.Open이 실패하여 서버 측 요청 위조(SSRF)만 발생한다. 수정 버전은 transports/v2.0.0이다.
두 결함은 동일한 근본 원인을 공유한다: Bifrost 관리 API가 기본적으로 인증 비활성화 상태로 출시된다는 것이다. 이번에 공개된 취약점은 8월 말 수정된 무관한 SSRF 결함(CVE-2026-55245)에 이어, 한 달도 채 안 되는 기간에 이 프로젝트에서 공개된 두 번째·세 번째 보안 이슈이다.
이 MCP 결함은 이미 실제 공격으로 이어진 패턴을 따르고 있다. 2026년 4월, 연구자들은 Anthropic의 공식 SDK에 영향을 미치는 MCP STDIO 트랜스포트의 설계 결함을 공개했다. 또 다른 AI 게이트웨이인 LiteLLM에서 유사한 명령 주입 결함이 실제로 악용되어 6월 CISA의 알려진 악용 취약점(KEV) 목록에 등재된 바 있다.
두 Bifrost CVE는 이 기사 게시 시점 기준으로 KEV 목록에 등재되어 있지 않다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
