핵심 내용
GeekNews 10월 19일 오전 최신 글에서 소개된 PwnEscape는 Linux 네트워크 처리 과정의 결함을 이용해 가상머신 내부 작업이 호스트 측 자원에 영향을 미칠 수 있음을 보인 연구다. 취약점 식별자는 CVE-2026-99999로 소개됐다. 연구자 Paulos Yibelo는 Vercel의 100만 달러 규모 Sandbox 보안 챌린지에서 이 문제를 발견했고, Vercel은 10월 14일 공식 보고서에서 조사 결과를 공개했다. 연구자는 10월 15일 기술 분석을 발표했다.
취약점의 근본 원인은 KVM 자체가 아니라 Linux 커널의 IPv4 체크섬 처리와 헤더 검증 사이의 신뢰 경계에 있다. 연구자는 Vercel 실제 운영 샌드박스에서 호스트 메모리가 네트워크 패킷에 일부 섞여 나오는 현상을 재현했다. 호스트 시스템 충돌과 관리자 권한 코드 실행은 연구자 소유의 별도 KVM·Firecracker 시험 환경에서 시연됐다. 따라서 Vercel 운영 환경에서 호스트 관리자 권한 획득이나 고객 파일 유출이 확인됐다는 뜻은 아니다.
Vercel에 따르면 챌린지 기간 2주 동안 신고 1,285건이 접수됐고 보상금 24만2,000달러가 지급됐다. 업체는 고객 데이터 접근이 입증된 신고는 없었다고 밝혔다. Linux 커널 변경사항과 배포판별 수정 여부는 실제 운영 중인 커널 공급자의 공지를 기준으로 확인해야 하며, 연구용 재현코드를 운영환경에서 시험해서는 안 된다.
배경
AI 코딩 Agent는 모델이 작성한 미검증 코드를 실행하기 위해 컨테이너나 microVM을 활용한다. 이때 보안은 가상화 엔진뿐 아니라 호스트 커널의 네트워킹·스토리지·장치 처리까지 포함한 전체 경계에 의존한다.
산업·시장에 미치는 영향
Agent 샌드박스가 제공하는 '격리'는 단일 설정으로 영구 보증되는 특성이 아니다. 서비스 운영자는 호스트 패치, 별도 권한 제한과 네트워크 정책을 함께 적용해야 한다. 이번 연구는 모델이 악의적으로 행동한 사건이 아니라 외부 보안 연구자가 격리환경의 기술적 한계를 입증한 사례다.
실무에서 바로 활용할 수 있는 시사점
코딩 Agent를 서비스로 제공한다면 최신 커널 보안 업데이트 적용, 샌드박스별 분리, 호스트 자격증명 비노출, 송수신 네트워크 허용목록과 이중 방어를 점검해야 한다. 공격 재현보다는 자사 클라우드·커널 이미지의 패치 상태와 공급업체 보안 공지를 우선 확인하는 것이 적절하다.
출처
Vercel — Findings from the $1M Vercel Sandbox challenge