수년 동안 보안 팀은 취약점이 공개되더라도 시간이 충분할 것이라는 안일한 가정 아래 업무를 수행해 왔습니다. 보안 권고문을 읽고, 패치를 테스트하고, 유지보수 일정을 잡을 시간이 있을 것이라고 생각했습니다.
이제 그러한 가정은 더 이상 유효하지 않습니다. 최첨단 AI 모델로 인해 취약점 발견부터 실제 악용까지의 시간 간격이 급격히 줄어들면서, 위협 행위자는 더 빠르고 저렴하며 손쉽게 이용할 수 있는 공격 수단을 갖게 되었습니다. CVE-2026-42208은 이러한 새로운 현실을 단적으로 보여주는 사례이자, 서명 기반 방어만으로는 더 이상 충분하지 않은 이유를 잘 보여주는 사례입니다.
LiteLLM과 해당 취약점 이해하기
LiteLLM은 BerriAI가 제공하는 오픈 소스 프록시로, OpenAI, Anthropic, AWS Bedrock을 비롯한 100개 이상의 대규모 언어 모델(LLM) 제공업체를 위한 통합 인터페이스를 제공합니다. LiteLLM은 GitHub 스타 45,000개 이상, 월간 PyPI 다운로드 9,700만 회를 기록할 만큼 널리 사용되고 있습니다. 엔터프라이즈 AI 파이프라인의 중심에 위치하며, 제공업체 API 키, 가상 키, 마스터 키, PostgreSQL 연결 문자열을 하나의 데이터베이스에 집중시킵니다. CVE-2026-42208(CVSS 9.3)은 BerriAI LiteLLM 버전 1.81.16부터 1.83.6까지에 영향을 미치며, LiteLLM이 원시 토큰을 쿼리에 직접 연결하기 때문에 인증되지 않은 공격자가 조작된 Authorization: Bearer 헤더를 통해 SQL을 삽입할 수 있습니다.
그 결과는 심각합니다. 공격에 성공하면 전체 자격 증명 저장소가 노출될 수 있으며, 여기에는 OpenAI, Anthropic, AWS Bedrock의 업스트림 공급자 키뿐만 아니라 가상 프록시 키와 마스터 프록시 키도 함께 저장되어 있을 수 있습니다. LiteLLM에 조직 수준 또는 계정 루트 공급자 자격 증명을 저장하는 조직의 경우, 인스턴스 하나가 침해되는 것만으로도 운영 측면에서는 전체 클라우드 계정이 침해된 것과 맞먹는 피해가 발생할 수 있습니다.
AI의 속도로 무기화
하지만 핵심 쟁점이자 우려되는 부분은 취약점 악용까지 걸린 시간입니다. LiteLLM 1.83.7-stable은 2026년 4월 19일에 출시되었습니다. 보안 권고는 4월 20일 GitHub에 게시되었고, 4월 24일 전 세계 GitHub Advisory Database에 등록되었습니다. 등록 후 불과 36시간 만에 전 세계 보안 커뮤니티에서 최초로 확인된 취약점 악용 시도를 기록했습니다.
이는 이전 블로그 글인 "포스트 Mythos 시대: AI 기반 방어가 더 이상 선택 사항이 아닌 이유"에서 경고했던 단축된 타임라인입니다. 취약점 파이프라인이 AI의 속도로 움직이면 시그니처에만 의존하는 전략으로 인해 발견과 보호 사이의 공백이 점점 커지며, 36시간이라는 무기화 시간에 수동 시그니처 생성 프로세스로는 대응할 수 없습니다.
F5 Distributed Cloud WAF가 네이티브 보호를 제공하는 방식
바로 이 지점에서 F5 Distributed Cloud WAF가 결과를 바꿀 수 있습니다. 단일 시그니처 일치에 의존하는 대신, Distributed Cloud WAF의 AI 기반 위험 점수 산정 엔진은 시그니처 기반 분석, 공격 지표 및 상관관계 분석, ML 기반 분류, 그리고 공격 가능성과 영향을 바탕으로 산출한 최종 위험 점수 등 여러 탐지 계층의 다양한 신호를 연계합니다.
이 엔진의 핵심은 보조 분류기 역할을 하는 신경망입니다. 의심스러운 요청의 일부가 지원되는 공격 시그니처를 트리거하면, 모델은 탐지된 콘텐츠가 실제로 악성인지 정상인지 평가하고 이진 결과를 반환하여 그에 따라 요청의 위험 수준을 조정합니다.
CVE-2026-42208은 기본적으로 Authorization: Bearer 헤더를 통해 전달되는 SQL 인젝션이므로, 이처럼 심층적인 AI 기반 검사를 실행하는 지원 시그니처 범주 중 하나인 SQLi 범주에 정확히 해당합니다. 이는 F5 Web application and API protection (WAAP) 솔루션이 제공하도록 설계된 익스플로잇 전 탐지 기능입니다. 즉, 공격 지표와 광범위한 실제 텔레메트리로 학습된 신경망을 결합하여, 이를 탐지할 시그니처가 존재하기 전에 새로운 익스플로잇 패턴을 찾아냅니다.
방어 체계 테스트: 시그니처만으로는 충분하지 않습니다
두 가지 구성에서 실제 익스플로잇을 대상으로 이를 검증했습니다.
테스트 A — 기본 프로필(시그니처 전용): WAF는 공격을 탐지하지 못했습니다. Authorization 헤더에 숨겨진 조작된 SQL 페이로드는 정적인 시그니처 매칭을 우회했습니다.
당사의 LiteLLM 서버는 기본 프로파일만 적용된 F5 Distributed Cloud WAF 뒤에 배포되어 있습니다. 아래 스크린샷의 페이로드를 살펴보면, CVE-2026-42208(CVSS 9.3)에 설명된 대로 인증 헤더 내부에 직접 숨겨진 시간 기반 블라인드 SQL 인젝션을 구성했습니다. 이 페이로드는 일반적인 인젝션 패턴을 피하므로 정적인 규칙 기반 탐지를 완전히 우회합니다.
백엔드 Postgres 로그를 살펴보면 이 페이로드가 정확히 어떻게 자리 잡는지 알 수 있습니다.
다음 스크린샷에서 볼 수 있듯이, 이 Python 스크립트는 이진 트리 순회를 활용하여 Postgres 테이블에서 API 토큰을 추출합니다:
데이터베이스와 대조해 보면 스크립트가 추출한 토큰이 정확히 일치하며, 이는 이 서버가 완전히 침해되었음을 입증합니다.
테스트 B — AI 기반 WAF: WAF가 공격을 차단했습니다. 신경망은 삽입된 SQL 조각을 악성으로 정확히 분류하고 차단을 적용했습니다. 이는 위협 수준이 높은 환경에 대해 F5가 권장하는 균형 잡힌 수준에서 공격적인 수준의 보안 태세에 부합하는 결과입니다.
당사의 보안 분석 대시보드에서 F5 Distributed Cloud DNS Load Balancer를 살펴보면, 이제 이러한 요청으로 인해 WAF가 트리거되었음을 명확히 알 수 있습니다:
교훈은 분명합니다. 시그니처에 ML을 결합하면 기존의 시그니처 전용 WAF가 놓치는 공격을 탐지할 수 있으며, 신경망을 보조 분류기로 활용하면 오탐을 충분히 낮게 유지하여 안심하고 차단 모드로 배포할 수 있습니다. 이는 수동 튜닝을 줄이고 정상 사용자를 방해하지 않으면서 보호 적용 시간을 단축하는 F5의 계층형 다중 신호 접근 방식이 효과적임을 입증합니다.
권고 사항 및 결론
인터넷에 노출된 LiteLLM 인스턴스를 운영하는 조직은 악용 증거가 있는지와 관계없이 즉시 버전 1.83.7로 업데이트하고, 영향을 받은 배포 환경의 모든 제공업체 자격 증명을 교체해야 합니다. LiteLLM에 수많은 비밀 정보가 집약되어 있다는 점을 고려하면, 침해된 것으로 간주하는 것이 가장 안전한 대응입니다.
하지만 패치만으로는 위험한 공백이 남으며, CVE-2026-42208은 이제 공격자들이 그 틈을 몇 주가 아닌 불과 몇 시간 만에 파고든다는 사실을 보여줍니다. 보안 권고가 색인된 후 실제 공격이 시작되기까지 불과 36시간밖에 걸리지 않았기 때문에, 공격자들이 공격 준비를 마치기 전에 해당 CVE에 특화된 시그니처를 작성하고 테스트하여 배포할 시간은 없습니다.
F5 Distributed Cloud WAF는 이러한 공백을 다른 방식으로 해소합니다. F5의 AI 기반 위험 점수 산정 엔진은 공격 지표와 실제 환경의 텔레메트리를 통해 지속적으로 학습되는 신경망을 결합하여 모든 요청에 동적 위험 점수를 부여합니다. Distributed Cloud WAF는 명명된 규칙과 일치시키는 대신 동작을 기반으로 악의성을 판단하여 Authorization: Bearer 헤더에 숨겨진 SQL 인젝션을 인식하므로, F5는 시그니처와 패치로는 대응할 수 없는 시점에 익스플로잇 전 탐지를 제공하고 고객이 패치를 적용할 수 있기 전부터 기본 보호 기능을 제공합니다.
악의적인 사용자들이 AI를 활용해 취약점 악용 속도를 높이는 만큼, 방어자도 AI로 그 속도에 대응해야 합니다. 자세한 내용은 F5의 AI 기반 WAAP 솔루션 확장 발표를 읽고 F5 Distributed Cloud WAF 웹페이지를 방문해 확인하세요.
작성자 소개
관련 블로그 게시물
F5 NGINX Gateway Fabric로 AI 제공 표준화
F5 NGINX Gateway Fabric이 기업의 Kubernetes 트래픽 표준화, 애플리케이션 보안 강화, 대규모 AI 추론 준비를 어떻게 지원하는지 알아보세요.
F5의 CalypsoAI 인수 발표, TRiSM 프레임워크 구축을 향한 행보
F5의 CalypsoAI 전략적 인수를 통해 조직은 보안, 개인정보 보호 및 운영 통제력을 유지하면서도 안심하고 AI를 도입할 수 있습니다. 자세한 내용은 블로그에서 확인하세요.
사이버 복원력: LLM을 위한 OWASP Top 10 위험 완화
OWASP가 2025년 LLM 및 생성형 AI 앱을 위한 10대 위험 및 완화 방안을 발표하면서 업계에 절실히 필요했던 보안 기준이 마련되었습니다. 하지만 실행이 뒤따르지 않는 기준은 아무 의미가 없습니다. F5 AI 런타임 보안 솔루션은 OWASP 10대 위험의 80%에 대응하며, 현실에서 가장 시급한 위험을 우선적으로 해결합니다. 이 솔루션은 실시간 런타임 보호 기능을 결합하여 […]
석유 및 가스 산업을 위한 AI 보안
AI는 지질 모델링과 시추 최적화부터 파이프라인 모니터링, 예측 유지보수, 원자재 거래에 이르기까지 석유 및 가스 산업을 재편하고 있습니다. 하지만 이러한 미션 크리티컬 활용 사례에는 높은 위험도 따릅니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, 보호를 위한 Guardrails, 그리고 내장된 관측 가능성을 통해 석유 및 가스 산업을 안전하게 보호합니다. […]
인사 부서를 위한 AI 보안
AI는 HR을 혁신하고 있습니다. 기업들은 비용을 절감하고 직원 경험을 개선하기 위해 AI 기반 채용 코파일럿, 온보딩 도우미, 직원 지원 챗봇, 인력 분석 도구를 도입하고 있습니다. 하지만 HR 애플리케이션에는 규정 준수 실패, 편향 논란, 평판 훼손으로 이어질 수 있는 고유한 위험도 존재합니다. 당사의 AI 런타임 보안 솔루션은 다음과 같은 방식으로 HR 분야를 보호합니다. […]
기업 법무 관리를 위한 AI 보안
AI는 계약 검토 및 증거개시 자동화부터 규제 준수 모니터링과 민감한 지식재산 관리에 이르기까지 기업 법무팀의 업무 방식을 혁신하고 있습니다. 그러나 법률 환경은 AI 도입 시 가장 큰 위험이 따르는 분야 중 하나입니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, Guardrails 등 세 가지 접근 방식으로 기업 법무 관리를 보호합니다 […]