NemoClaw CVE-2026-65105: 브라우저 방문 한 번으로 모델의 채팅 템플릿이 재작성됐다

2026년 8월 25일 NVIDIA는 보안 공지 5872를 게시하고 OpenShell 샌드박스 내에서 OpenClaw 에이전트를 실행하는 Linux 도구인 NVIDIA NemoClaw의 결함을 CVSS 기본 점수 8.1의 High로 평가했습니다. CVE-2026-65105는 인증 누락 버그입니다: NemoClaw는 모든 네트워크 인터페이스에서 Ollama 추론 서버를 시작하며, Ollama API에는 자체 인증이 없습니다. NVIDIA의 감사 문구에 이름이 명시되고 현재 Cyera에 인수되는 중인 Oasis Security 연구원들은 공격자가 제어하는 웹페이지를 한 번 방문하는 것만으로 브라우저 내부에서 해당 서버에 접근하고 모델의 채팅 템플릿을 다시 작성할 수 있는 시연을 구축했습니다. 이 수정은 이후 대화보다 오래 지속되었고 에이전트가 자체 시스템 프롬프트를 제공한 뒤에도 유지되었습니다. 야생에서의 악용은 기록되지 않았습니다. 심각도 및 신뢰도 등급이 포함된 전체 항목은 Orca AI Incident Archive에서 같은 달의 인접 사건들과 함께 확인할 수 있습니다.

NVIDIA가 공개한 것

이 공지는 "보안 공지: NVIDIA NemoClaw 및 OpenShell - 2026년 8월"이라는 제목의 번호 5872 공지이며, 개정 이력에는 버전 1.0.0, 날짜 2026-08-25라는 단일 항목만 기록되어 있습니다. 이는 단일 CVE 권고가 아니라 종합 공지로, 내부의 영향 제품 표에는 두 제품에 걸친 18개의 CVE가 CVE-2026-65081부터 CVE-2026-65105까지 나열되어 있습니다. 이 묶음에서 가장 큰 항목은 Linux용 NVIDIA OpenShell의 샌드박스 탈출로, 9.9 Critical 등급입니다.

CVE-2026-65105에 대해 공지문은 결함이 "추론 서버 설정에서 원격 공격자가 인증 없이 추론 서비스에 접근할 수 있으며"라고 명시하고, 성공적인 익스플로잇은 "정보 유출 및 서비스 거부로 이어질 수 있다"고 밝힌다. 공개된 벡터는 CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H — 인접 네트워크, 낮은 복잡도, 권한 없음, 사용자 상호작용 없음, 높은 기밀성 영향, 높은 가용성 영향 — 이며, 약점 클래스는 CWE-306, "중요 기능에 대한 인증 누락"이다.

NVIDIA의 영향을 받는 제품 표에는 Linux에서 NemoClaw의 영향을 받는 버전이 "0 to 0.0.25"로, 업데이트된 버전은 "f06796ff3; 0.0.25"로 제시되어 있습니다. 이는 영향을 받는 열에 나타나는 동일한 버전 번호와 짝을 이룬 커밋 해시입니다. 2026년 8월 27일 이 취약점을 보도한 eSecurity Planet은 바로 그 중복을 지적하며 관리자에게 "버전 번호만 신뢰하지 말고 배포된 코드에 수정 커밋이 포함되어 있는지 확인하십시오"라고 권고합니다.

감사의 글 섹션에서는 "CVE-2026-65105: Markus Halvorsen, Elad Luz of Oasis Security"의 공로를 인정합니다. 해당 CVE의 NVD 기록은 2026년 8월 25일 21:17 UTC에 게시되었고 2026년 9월 1일에 마지막으로 수정되었습니다. 이 기록에는 NVIDIA의 8.1 점수가 유일한 CVSS v3.1 평가로 포함되어 있으며, 해당 CVE는 CISA의 알려진 악용 취약점(Known Exploited Vulnerabilities) 목록에 나타나지 않습니다.

NVIDIA 자체 항목에 있는 한 가지 세부 사항은 그냥 넘기기보다 짚고 넘어갈 가치가 있다. 이 벡터에는 무결성 구성 요소가 전혀 없다 — I:N, integrity impact none — 그리고 한 줄 설명은 정보 노출과 서비스 거부만 언급한다. 아래에서 논의하겠지만, 연구진의 핵심 주장은 모델의 챗 템플릿이 수정되었고 그 수정된 상태가 유지되었다는 것이다. 벡터에 대한 그 같은 해석은 NVIDIA의 것이 아니라 우리의 것이다. 즉, 점수가 부여될 때 템플릿 재작성 경로가 고려되었는지에 관해 회사는 어떠한 입장도 발표하지 않았다.

로컬 서버에 접근할 수 있게 만든 설정

NemoClaw는 OpenClaw 에이전트를 OpenShell 샌드박스 내부에 배포하며, 로컬 추론 백엔드로 Ollama를 지원합니다. 이 구성 문제는 그와 같은 설정 방식에서 비롯된 부작용입니다. Cyera의 Elad Luz와 Ofek Itach가 작성한 연구 보고서에서 설명하듯이, OpenShell은 Docker에서 실행되므로 기본 루프백 주소에 있는 Ollama 서버는 컨테이너 내부에서 접근할 수 없습니다. 따라서 NemoClaw는 Ollama를 OLLAMA_HOST=0.0.0.0:11434로 시작하며, 이는 포트 11434를 호스트의 루프백에서만 바인딩하는 대신 모든 인터페이스에서 바인딩합니다. 같은 보고서는 실제 바인딩 범위가 상당히 더 넓은데도 설치 프로그램이 "Using Ollama on localhost:11434"를 표시한다고 지적합니다.

Ollama의 API에는 인증이 없습니다. 브라우저를 상대로 하는 방어 체계는 두 가지입니다. 하나는 Origin이 Host와 같은 요청을 동일 출처로 취급하고 Origin 헤더가 없는 요청도 통과시키는 CORS 미들웨어이고, 또 하나는 일반적으로 로컬 호스트 이름만 허용하는 Host 헤더 검증 단계입니다. 두 번째 방어 체계는 NemoClaw의 구성에서 사라지는 쪽입니다. Cyera의 설명은 명확합니다. "Ollama가 비루프백 주소(예: 0.0.0.0)에 바인딩되면 Host 헤더 검증이 완전히 건너뛰어진다"라는 것입니다. 즉 코드는 바인드 주소가 루프백인지 확인하고, 그렇지 않으면 검사를 우회합니다.

DNS 리바인딩이 작동하는 이유가 바로 이 조합입니다. 방문자가 공격자가 제어하는 도메인에서 페이지를 로드하면, 그 페이지의 JavaScript가 11434 포트를 대상으로 지정합니다. 그런 다음 공격자의 DNS가 동일한 도메인을 다시 127.0.0.1이나 피해자의 로컬 네트워크에 있는 주소로 재해석합니다. 브라우저의 동일 출처 정책은 호스트 이름을 기준으로 하며 호스트 이름이 변경되지 않았기 때문에, 브라우저는 계속해서 해당 요청을 동일 출처로 취급합니다. Ollama는 이를 수신하고, 바인드가 루프백이 아니기 때문에 Host 검증을 건너뛰며, Origin이 Host와 동일함(둘 다 공격자의 도메인)을 확인하므로 CORS 계층이 이를 허용합니다. Cyera가 내린 결과 요약은 "완전하고 인증되지 않은 API 접근"입니다. 공격자는 자신의 도메인 외에는 아무것도 제어할 필요가 없으며, 피해자의 네트워크나 DNS 인프라에 거점을 확보할 필요도 없습니다.

샌드박스는 이 문제를 다루지 못했습니다. 결함이 그 아래에 있기 때문입니다. eSecurity Planet은 이 버그가 "해당 샌드박스 제어 아래의 추론 계층"에 있다고 설명합니다. 따라서 에이전트를 샌드박싱해도 에이전트가 통신하는 모델 서버는 보호되지 않은 상태로 남았습니다. Cyera는 같은 요점을 더 넓게 제시합니다: "에이전트 샌드박싱은 필요하지만 충분하지 않습니다." 해당 사례에 관한 2026년 8월 27일자 Cloud Security Alliance의 연구 노트는 비루프백 바인딩이 CVE-2024-28224로 추적된 초기 Ollama 리바인딩 문제의 노출을 되살린다고 덧붙입니다.

분명히 말해 두는 것이 좋습니다. 이는 브라우저 공격과는 별개의 노출 경로이기 때문입니다. 0.0.0.0에 바인딩하면 인증되지 않은 API가 로컬 네트워크에 직접 노출되므로, 포트 11434로 라우팅할 수 있는 호스트라면 DNS 리바인딩 없이도 곧바로 접근할 수 있습니다.

읽기 쉬운 템플릿에서 재작성된 템플릿으로

JavaScript가 API에 접근할 수만 있다면, 정보 수집은 대수롭지 않은 일이 된다. Cyera는 시연에서 무엇에 접근할 수 있었는지 나열한다. GET /api/tags에서 설치된 모델 이름, 크기, 패밀리, 양자화 정보를, GET /api/version에서 정확한 Ollama 버전을, POST /api/show에서 모델 상세 정보, 시스템 프롬프트, 템플릿, 라이선스를, 그리고 POST /api/me에서 호스트명과 공개 키, 또는 로그인한 사용자 이름을 얻을 수 있었다. 파괴적인 엔드포인트에도 접근할 수 있었다. POST /api/pull로 임의의 모델을 다운로드해 디스크를 채울 수 있고, POST /api/push로 피해자의 계정 아래 ollama.com에 모델을 푸시할 수 있으며, DELETE /api/delete로 피해자의 모델을 삭제할 수 있고, POST /api/signout도 가능했다. OpenAI 호환 /v1/chat/completions 경로를 포함한 추론 엔드포인트는 피해자의 GPU에서 프롬프트를 실행하게 된다.

지속성은 그 엔드포인트 중 하나에서 비롯되었다. Cyera의 설명에 따르면, POST /api/create를 통해 숨겨진 시스템 필드를 주입하는 것은 OpenClaw에 효과가 없었는데, 에이전트가 messages 배열에 자체 시스템 프롬프트를 보내고 이것이 모델의 내장 시스템 필드를 덮어쓰기 때문이다. 더 강력한 경로는 /api/create도 받아들이는 템플릿 필드다. Ollama 채팅 템플릿은 추론 전에 메시지가 원시 텍스트로 렌더링되는 방식을 제어하는 Go 템플릿이며, "템플릿은 추론 시점에 클라이언트가 보내는 시스템 프롬프트를 포함한 모든 메시지에 적용된다". 시연에서 공격자는 /api/show를 통해 원본 템플릿을 가져와 도구 렌더링, 특수 토큰, 역할 포맷을 그대로 유지한 채 주입 내용을 끼워 넣고 다시 업로드했다.

중요한 것은 그러한 배치에서 비롯되는 결과입니다. Cyera에 따르면 이 수정은 해당 모델과의 모든 향후 대화에서 지속되고, 클라이언트가 제공한 시스템 프롬프트에도 살아남으며, 모델의 이름, 크기, 메타데이터 및 기능이 변하지 않은 것처럼 보이기 때문에 사용자에게 보이지 않고, CLI, API 클라이언트, 에이전트 등 모델을 사용하는 모든 주체에 영향을 미칩니다. 해당 보고서 자체의 표현에 따르면, 템플릿은 "API 소비자에게 보이지 않는 모델 수준의 속성"이기 때문에 "클라이언트는 이를 탐지하거나 방지할 수 없습니다". 2026년 8월 26일 이 사례를 보도한 CSO Online은 Luz가 템플릿을 "가드레일이나 운영자가 볼 수 있는 그 어떤 것보다 한 계층 아래에 위치한다"고 설명한 말을 인용하며, 이 변경이 향후 모든 세션에서 지속된다고 언급합니다.

Cyera가 오염된 템플릿에서 실행되는 에이전트에 대해 나열한 결과는 관찰된 것이 아니라 잠재적인 것입니다. 생성된 코드에 취약점 삽입, 보안 경고 억제, 권장 사항을 공격자가 제어하는 패키지, URL 또는 구성으로 유도, 아웃바운드 접근이 존재하는 경우 대화 또는 파일 데이터 유출 등이 여기에 해당합니다. 이 보고서는 샌드박스가 여전히 경계를 설정하는 부분—호스트 수준 파일 시스템, 네트워크 및 프로세스 작업—에 대해서도 주의를 기울이면서, 에이전트가 소스 제어, CI/CD, 내부 API, 클라우드 서비스 및 MCP 서버에 대해 승인된 접근 권한을 갖는 것이 실제 노출이 발생하는 지점이라는 점을 지적합니다.

시연이 보여준 것과 보여주지 않은 것

Cyera가 설명한 대로, 개념 증명은 네 단계로 진행되었습니다. 연구원들은 NemoClaw 샌드박스에 연결해 프롬프트를 보냈고, 에이전트는 정상적으로 응답했습니다. 그다음 이들은 로컬 Ollama 서버에 대해 DNS 리바인딩을 수행하는 웹페이지를 열었습니다. 그 페이지는 Ollama 버전, 설치된 모델, 호스트 이름, 공개 키를 읽었고, 숨겨진 지시로 모델 템플릿을 오염시켰습니다. 동일한 프롬프트를 다시 보내자 주입된 마커가 포함된 응답이 반환되었으며, 샌드박스된 에이전트 자체에는 아무런 변경도 이루어지지 않았습니다.

그것이 연구진이 내세우는 주장의 가장 강력한 형태이며, 바로 그 지점에서 기록의 한계가 시작된다. 이는 특정 구성, 즉 OLLAMA_HOST=0.0.0.0:11434로 Ollama를 시작한 경우에서의 시연이며, 배포된 시스템에 대한 조사는 아니다. 이 글을 위해 검토한 보도 어디에도 피해자는 지목되지 않는다. NVIDIA의 공지에도, NVD 기록에도, Cyera의 보고서에도, CSO Online이나 eSecurity Planet의 보도에도 없다. 그중 어느 곳도 노출된 NemoClaw 설치 수를 발표하지 않았고, 어느 곳도 실제 환경에서의 악용을 보고하지 않는다. CISA KEV 목록에 없다는 것은 카탈로그에 관한 사실일 뿐, 누구도 시도하지 않았다는 증거는 아니다.

독립적인 논평은 CSO Online이 인용한 Cequence Security의 Randolph Barr로부터 나왔다. 그는 "DNS 리바인딩은 10년 넘게 브라우저의 파티 트릭이었다"라고 말하면서, "그것을 인증되지 않은 로컬 모델 서버를 겨냥하는 데 사용하는 것이 새로운 부분"이라고 했다. 이는 여기서의 새로움을 공정하게 설명한 것이다 — 브라우저 기법은 오래되었고 대상 클래스는 새롭다 — 또한 이는 이 공개가 한 연구팀의 시연에 의존한다는 점을 상기시킨다. 이 기사를 위해 검토한 보도에서는 템플릿 포이즈닝 결과에 대한 독립적인 재현이 발견되지 않았다.

수정 사항과 Windows 격차

NVIDIA가 수정 사항으로 지목한 커밋 f06796ff3의 제목은 "fix(security): 인증 프록시를 사용해 Ollama를 localhost에 바인딩"입니다. 공개 저장소를 기준으로 읽어 보면 이 커밋은 세 가지를 수행합니다. 로컬 추론 경로를 변경하여 Ollama가 0.0.0.0:11434 대신 127.0.0.1:11434에서 시작되도록 합니다. 작은 인증 리버스 프록시인 scripts/ollama-auth-proxy.js를 추가합니다. 이 프록시는 0.0.0.0:11435에서 수신하고, 온보딩 시 인스턴스마다 생성되어 OpenShell 공급자 자격 증명에 저장되는 베어러 토큰을 검증합니다. 따라서 컨테이너화된 게이트웨이는 계속 추론에 접근할 수 있지만, 토큰이 없는 요청은 401을 받습니다. GET /api/tags는 컨테이너 상태 확인을 위해 의도적으로 면제됩니다. 또한 설정 스크립트와 로컬 추론 테스트를 프록시 포트에 맞게 업데이트합니다. 커밋 메시지는 내부 티켓을 "PSIRT bug 6002780, CVSS 7.5 High"로 기록하며, 이는 NVIDIA가 이후 해당 CVE에 대해 공개한 8.1과 대조됩니다.

그 커밋 이후의 교정 상태는 출처들이 서로 갈리는 지점이며, 그 차이는 해결하기보다는 보고되어야 한다. CSO Online은 "해당 취약점이 이제 Nvidia에 의해 비Windows 시스템용으로 패치되었다"고 보도한다. 2026년 8월 27일 Cloud Security Alliance의 노트는 더 구체적이다. 즉 macOS와 Linux는 v0.0.35에서 수정되었고, 이후 빌드인 v0.0.106은 Ollama가 루프백에 바인딩되어 있지 않으면 시작을 거부하며, "NVIDIA의 교정은 macOS와 Linux를 포함하지만 발행 시점 기준으로 Windows나 WSL에는 적용되지 않는다"고 밝힌다. 그 설명에 따르면 시작 검사는 "Windows와 WSL에서 사용되는 코드 경로에 도달하지 않으며", v0.0.34는 "루프백 바인딩을 강제하기보다는 경고만 추가했고", "Windows 및 WSL 배포는 공개 시점에 여전히 노출된 상태로 남아 있었다". NVIDIA 자체 공지 문서는 이 중 일부만 뒷받침한다. 영향받는 제품 표는 CVE-2026-65105의 범위를 Linux로 한정하고, 단일 업데이트 커밋과 버전만 제시하며, 영향받는 제품으로서도 수정된 제품으로서도 Windows 항목을 나열하지 않는다. NVIDIA는 여기서 검토된 어떤 문서에서도 그 불일치에 대해 답변하지 않았다.

NVIDIA의 공개 성명은 CSO Online에 게재된 후 나왔다. 회사는 "우리는 연구자들의 발견과 보고에 감사한다"고 말하며 "Nvidia는 고객이 다운로드하고 설치할 수 있는 업데이트를 발표했다"고 덧붙였다.

eSecurity Planet이 나열한 운영자 측 조치는 기록에서 실질적으로 남은 부분입니다:

• NemoClaw을 업데이트하고, 버전 문자열을 신뢰하는 대신 배포된 코드에 커밋 f06796ff3이 포함되어 있는지 확인하세요. 0.0.25가 영향을 받은 항목과 업데이트된 항목 양쪽 칼럼에 모두 나타나기 때문입니다.

• 더 넓은 접근이 명시적으로 필요하지 않은 한 Ollama를 127.0.0.1로 제한하세요. 그러면 Host 유효성 검사가 건너뛰어지게 만드는 비루프백 바인드가 제거됩니다.

• 애플리케이션 자체의 네트워크 경계에 의존하기보다 추론 서비스 앞에 인증된 프록시와 방화벽 제어를 배치하십시오.

• 모델의 이름, 크기, 메타데이터는 오염된 템플릿에 의해 그대로 유지되므로, 예상치 못한 변경이 있는지 리스닝 인터페이스, 모델 템플릿, 모델 설정 및 API 활동을 모니터링하십시오.

• 변조 탐지 및 복구를 위해 모델 템플릿과 설정의 정상 확인된 사본을 보관하고, 모델 중독 및 추론 노출에 대한 사고 대응 계획을 테스트하십시오 — 격리, 무결성 검사, 자격 증명 교체 및 복원.

• 에이전트가 접근할 수 있는 모든 대상—저장소, CI/CD 시스템, API, 클라우드 리소스 및 자격 증명—에 최소 권한을 적용하세요. 샌드박스는 호스트 작업을 제한하지만 에이전트에 부여된 권한은 제한하지 않기 때문입니다.

확립된 것, 귀속된 것, 그리고 알려지지 않은 것

확인됨. NVIDIA는 2026년 8월 25일에 보안 공지 5872를 게시했으며, 여기서 CVE-2026-65105는 8.1 High, CWE-306으로 평가되고 Linux용 NemoClaw 버전 0~0.0.25에 영향을 미치며 커밋 f06796ff3에서 수정된 것으로 명시했습니다. NVD 기록은 공지 자체 페이지와 독립적으로 해당 점수, 벡터, 약점 클래스를 뒷받침합니다. NVIDIA의 감사 문구에는 Oasis Security의 Markus Halvorsen과 Elad Luz가 이름을 올렸습니다. 수정 사항으로 지목된 공개 커밋은 바인딩을 루프백으로 변경하고 포트 11435에서 토큰 인증 프록시를 도입합니다. 해당 CVE는 CISA의 알려진 악용 취약점(KEV) 목록에 포함되어 있지 않습니다.

출처 표기됨. 웹페이지를 한 번 방문하는 것만으로 모델의 채팅 템플릿을 재작성할 수 있고, 그 변경이 이후 세션과 클라이언트가 제공한 시스템 프롬프트에도 유지된다는 것은 Oasis Security의 발견으로, Cyera의 연구 보고서를 통해 보고되었으며 CSO Online과 eSecurity Planet이 전했습니다. macOS와 Linux는 v0.0.35 및 v0.0.106에서 수정된 반면 Windows와 WSL은 v0.0.34에서 경고만 받았다는 것은 Cloud Security Alliance의 설명입니다. 동일한 주장에 대한 CSO Online의 더 짧은 버전은 패치가 비-Windows 시스템을 포괄한다는 것입니다. 다운스트림 에이전트 영향 목록 — 취약한 코드, 억제된 경고, 공격자가 조종한 패키지, 데이터 유출 — 은 잠재적 영향에 대한 Cyera의 설명이며, 관찰된 결과는 아닙니다.

확립되지 않았습니다. 얼마나 많은 NemoClaw 배포가 0.0.0.0 바인딩으로 실행되었고, 그중 얼마나 많은 것이 인접 네트워크에서 접근 가능했는지는 누구도 공개하지 않았습니다. 포이즈닝 경로가 NVIDIA의 8.1 점수에 반영되었는지는 알 수 없습니다 — 공개된 벡터에는 무결성 영향이 없으며, NVIDIA도 이에 대해 어느 쪽으로도 언급하지 않았습니다. 이곳에서 검토한 어떤 출처에도 피해자, 사건 보고서, 실제 환경에서의 악용이 기록되지 않았고, 두 번째 연구 그룹이 재현 결과를 발표한 적도 없습니다.

기록 자체는 배포 사건이 아니라 연구 결과입니다. 아카이브 항목은 높은 심각도와 A 신뢰도 등급을 명시하고, 실제 피해가 없음을 기록하며, 논란의 여지가 없음으로 표시합니다. 이는 출처가 보여주는 내용 — 잘 문서화된 취약점, 입증된 익스플로잇, 보고된 인명 피해 없음 — 과 일치하며, 이 글이 취약점 입증과 그 결과를 하나의 주장으로 취급하지 않고 분리하는 이유이기도 합니다.