GitLab이 자체 AI 기능인 Duo Agent Platform과 연결된 'AI Gateway'에서 치명적인 보안 취약점(CVE-2026-90970)을 발견해 패치했습니다. CVSS 점수는 10점 만점에 9.9점으로 매우 심각한 수준입니다. 이 취약점은 로그인한 사용자가 특수하게 조작한 AI 작업 흐름(flow) 설정을 이용해 AI 응답을 만드는 '프롬프트 템플릿' 보호 장치를 빠져나가, 서버에서 임의의 명령을 실행할 수 있게 하는 문제입니다. GitLab이 직접 운영하는 서버(GitLab.com 등)는 이미 조치가 끝나 사용자가 따로 할 일이 없지만, 기업이 자체적으로 운영하는 AI Gateway 서버를 쓰는 곳은 반드시 직접 업데이트해야 합니다. 아직 실제 공격에 악용된 사례는 확인되지 않았지만, 지난 2월에도 같은 종류의 취약점이 발견된 적이 있어 GitLab의 AI 기능 보안 설계에 반복적인 약점이 있다는 점이 눈에 띕니다.
GitLab의 AI Gateway(AI 모델 연결 서버)에서 로그인 사용자가 프롬프트 템플릿 보호를 뚫고 서버 명령을 실행할 수 있는 치명적 취약점(CVE-2026-90970, CVSS 9.9)이 발견돼 패치됐다.
공격자가 Duo Agent Platform 접근 권한만 있으면 AI Gateway 서버에서 임의 명령을 실행할 수 있어, 서버에 저장된 JWT 서명 키 등 민감한 인증 정보와 GitLab 인스턴스, AI 모델 제공사 연결 정보가 위험해질 수 있다.
사용자가 만드는 커스텀 flow(자동화 작업 흐름)의 프롬프트 템플릿 샌드박스(격리 환경)를 특수하게 조작한 flow 설정으로 빠져나갈 수 있는 구조적 결함(CWE-1336, 템플릿 엔진 취약점)이다.
GitLab은 AI Gateway 버전 19.2.4, 19.3.2, 19.4.1에서 이를 수정했으며, GitLab이 직접 운영하는 서버는 이미 패치가 적용돼 조치가 필요 없다. 자체 운영 중인 기업은 즉시 업데이트해야 하며, 더 오래된 버전(19.2.4 이전)에는 수정판이 없다.
자체 호스팅 AI Gateway를 쓰는 조직은 Docker 이미지나 Helm 차트를 즉시 최신 버전으로 교체해야 하며, 패치 전 공격 여부를 확인할 방법이 없어 더욱 신속한 조치가 필요하다.
본문
Swati Khandelwal 2026년 10월 2일 취약점 / 애플리케이션 보안
GitLab의 AI Gateway에 있는 치명적 결함으로 인해 Duo Agent Platform 접근 권한을 가진 로그인 사용자가 특정 조건에서 게이트웨이에서 명령을 실행할 수 있었다고 GitLab이 권고문에서 밝혔다.
이 게이트웨이는 GitLab 인스턴스를 AI 모델에 연결하는 서비스로, 자체적으로 게이트웨이를 운영하는 조직만 조치를 취해야 한다. 이 결함은 게이트웨이 버전 19.2.4, 19.3.2, 19.4.1에서 수정되었다.
이 결함은 CVE-2026-90970으로 추적된다. GitLab은 10월 2일 이를 공개했으며 CVSS 점수 10점 만점에 9.9점의 치명적(critical) 등급으로 평가했다.
GitLab은 고객을 위해 AI Gateway를 운영하며 이미 수정을 완료했다. GitLab.com, GitLab Dedicated, 그리고 GitLab이 호스팅하는 게이트웨이를 사용하는 자체 관리(self-managed) 인스턴스 고객은 조치가 필요하지 않다고 회사는 밝혔다.
자체 관리 고객은 대신 자체 게이트웨이를 호스팅할 수 있는데, 이는 AI 요청 및 응답 데이터를 고객 자신의 환경 내에 유지하기 위해 GitLab이 제공하는 옵션이다. GitLab은 자체 호스팅 게이트웨이를 사용하는 고객에게 즉시 업데이트할 것을 강력히 권고했다. 회사는 권고문을 발표하기 전에 자체 호스팅 게이트웨이를 사용하는 고객들에게 이 안내를 먼저 전달했다.
권고문에는 이 결함이 실제 공격에 사용되었는지에 대한 언급이 없다. 미국 사이버보안 및 기반시설 보안국(CISA, Cybersecurity and Infrastructure Security Agency)은 10월 2일 CVE 기록에 평가를 추가하며 악용 여부를 "없음(none)"으로 표시했다. CISA의 다른 두 평가 값은 공개된 개념증명(PoC)과 실제 악용 여부를 다룬다.
영향받는 버전과 수정된 버전
아래 버전들은 AI Gateway 버전이다. 이 게이트웨이는 자체 Docker 이미지 또는 Helm 차트로 설치되며, 자체적인 업데이트 절차를 가진다.
사용 중인 게이트웨이 버전 | 최초 수정 버전 18.1.6 이상, 19.2.4 미만 | 19.2.4 19.3, 19.3.2 미만 | 19.3.2 19.4, 19.4.1 미만 | 19.4.1
Docker 배포를 업데이트하려면 실행 중인 컨테이너를 중지하고 제거한 다음, 새 이미지 태그(예: self-hosted-v19.4.1-ee)를 받아 실행하면 된다. Helm 배포는 차트의 image 설정에서 새 태그를 지정한다.
19.2.4 미만 버전에 대해서는 수정 버전이 명시되어 있지 않다. 이로 인해 18.1.6부터 19.1 라인까지의 모든 게이트웨이 릴리스가 영향받는 범위에 남아 있다.
GitLab의 설치 가이드는 관리자에게 자신의 GitLab 마이너 버전과 일치하는 게이트웨이 이미지를 사용하라고 안내한다. 권고문에는 19.2.4 게이트웨이가 19.1 이하 버전의 GitLab과 함께 작동하는지, 또는 더 오래된 라인에 대한 수정 계획이 있는지에 대한 언급이 없다.
10월 2일 기준, GitLab의 유지보수 정책은 19.4, 19.3, 19.2를 보안 수정을 받는 GitLab 릴리스로 명시하고 있다. 이는 게이트웨이 수정을 받은 바로 그 세 라인과 동일하다.
아직 업데이트할 수 없는 게이트웨이를 위한 우회 대응책(workaround)은 제시되지 않았다. 권고문에는 업데이트 전에 게이트웨이가 공격받았는지 확인할 방법도 제시되어 있지 않다.
이 결함에 대해 알려진 사실
권고문의 제목에 따르면 이 결함은 커스텀 flow의 프롬프트 템플릿에 존재한다. 커스텀 flow란 사용자가 Duo Agent Platform에서 여러 단계의 작업을 자동화하기 위해 만드는 AI 기반 워크플로우다.
Duo Agent Platform 접근 권한을 가진 로그인 사용자는 "특수하게 조작된 flow 설정을 통해 프롬프트 템플릿 샌드박스(sandbox)를 벗어날" 수 있었다고 GitLab은 밝혔다. 이 탈출은 게이트웨이에서의 임의 명령 실행으로 이어질 수 있다.
이 공격에 필요한 조건은 설명되어 있지 않으며, Duo Agent Platform 접근 권한 외에 별도의 사용자 역할도 언급되지 않았다.
자체 호스팅 게이트웨이는 JSON 웹 토큰(JWT, JSON Web Token) 서명 키를 보유하는데, GitLab의 설치 가이드는 이를 민감한 자격 증명(credential)으로 취급해야 한다고 명시하고 있다. 또한 이 게이트웨이는 GitLab 인스턴스 및 조직의 AI 모델 제공사와도 연결되어 있다.
GitLab은 HackerOne 사용자 invisiblemeerkat에게 이 결함을 신고한 공로를 인정했다.
지난 2월, GitLab은 또 다른 게이트웨이 결함인 CVE-2026-1868을 수정했으며, 이 역시 9.9점으로 평가했다. 로그인 사용자는 조작된 flow 정의(definition)를 통해 이 결함에 접근할 수 있었고, 이는 게이트웨이에서의 서비스 거부(denial of service) 또는 코드 실행으로 이어질 수 있었다.
두 결함 모두 동일한 종류인 CWE-1336에 속하는 템플릿 엔진(template engine) 취약점이다. 새로운 권고문은 2월의 결함을 언급하지 않는다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
