GitLab의 Duo Claude Agent가 CI에서 임의 명령을 실행할 수 있었다. 그러나 실제로 사용된 사례는 아직 입증되지 않았다.

GitLab은 2026년 8월 26일, GitLab 권고문이 CI 환경에 위치시키는 Claude 기반 에이전트인 Duo Claude AI 에이전트의 고심각도 결함에 대한 수정 릴리스를 출시했습니다. CVE-2026-18252로 추적되는 이 버그는 Developer 역할을 가진 인증된 사용자가 CI 작업 내에서 임의 명령이 실행되도록 허용했는데, 이는 해당 에이전트가 출처를 검증하지 않고 사용자 제어 소스의 구성을 처리했기 때문입니다. GitLab은 이를 CVSS 3.1 척도에서 7.3으로 평가하고 영향을 받는 범위를 GitLab Enterprise Edition으로 한정했습니다. 18.9 버전부터 19.1.7 미만까지, 19.2부터 19.2.5까지, 19.3부터 19.3.1까지입니다. GitLab.com은 이미 패치된 코드를 실행 중이었고, GitLab Dedicated 고객에게는 아무 조치도 취하지 말라는 안내가 있었습니다. 이 글을 위해 검토된 어떤 출처도 누군가가 이를 악용했다고 보고하지 않았으며, 공개 출처에 개념 증명이 게시되지 않았습니다. 이 사건에 대한 아카이브 자체 항목은 심각도 및 신뢰도 등급과 함께 Orca AI Incident Archive에 있으며, 같은 주의 인접 기록들과 나란히 있습니다.

권고가 말하는 것과 빠뜨린 것

기본 문서는 짧습니다. 같은 날 게시된 GitLab의 19.3.1, 19.2.5, 19.1.7 패치 릴리스 노트에는 7개의 보안 수정 사항이 나열되어 있습니다. High로 표시된 첫 번째 항목의 제목은 "Duo Claude AI 에이전트의 신뢰할 수 없는 제어 영역으로부터의 기능 포함 문제가 GitLab EE에 영향"이며, 본문 설명은 한 문장에 불과합니다. GitLab은 "Claude 에이전트가 사용자 제어 소스의 구성을 처리함으로써 특정 조건에서 개발자 역할 권한을 가진 인증된 사용자가 CI 컨텍스트에서 임의 명령을 실행할 수 있었던 문제를 해결했습니다"라고 밝혔습니다. 이것이 공급업체가 공개한 기술 설명의 전부입니다.

GitLab이 직접 할당한 이 CVE 레코드는 실질적인 내용보다는 형식적인 구조만 덧붙인다. 이 레코드는 취약점을 CWE-829로 분류하고, 영향을 받는 범위와 CVSS 7.3 점수를 다시 기재하며, 해당 식별자가 2026년 7월 29일에 예약되어 8월 26일 13:36 UTC에 공개되었음을 기록한다. GitLab이 공로를 인정한 버그 바운티 보고서인 HackerOne 보고서 3863650은 2026년 10월 29일 비인증 조회에서 403을 반환했기 때문에 그 기술적 세부 내용은 공개되지 않았으며, CVE 레코드가 참조로 연결한 트래커 항목인 gitlab-org/gitlab 작업 항목 607342 역시 그 확인 시점에 읽을 수 있는 이슈 내용을 담고 있지 않았다.

권고문이 말하지 않는 부분이야말로 방어자가 알고 싶어 할 부분이다. 권고문은 관련된 Duo 기능이 무엇인지, 에이전트가 읽는 구성 필드가 무엇인지, 사용자가 제어하는 소스가 어떤 형태인지 — 저장소 파일인지, 파이프라인 변수인지, 이슈나 머지 요청 코멘트인지, 아니면 API 파라미터인지 — 를 밝히지 않는다. 이 중 어느 것도 GitLab의 설명이나 CVE 기록, 또는 이 글을 위해 검토한 업계 보도에서 언급되지 않았다. GitLab의 제품 문서는 CI로 이어지는 하나의 Claude 경로를 설명하는데, 그것은 외부 에이전트로서, 문서에 따르면 이슈, 에픽 또는 머지 요청에서 언급되면 CI/CD 파이프라인을 실행하며, 이에 대한 Claude Code 구성 예시가 존재한다. 검토한 어떤 자료도 그 경로를 CVE-2026-18252와 연결하지 않는다. 그것은 Claude 에이전트가 애초에 CI 권한을 보유하는 이유에 대한 맥락일 뿐, 버그의 메커니즘은 아니다.

같은 문서는 이 위험 등급에 대해 솔직하게 말합니다. GitLab의 외부 에이전트 페이지는 프롬프트 주입 취약점을 고객이 기능을 켜면 감수하는 위험 중 하나로 나열하고, 구현된 타사 프롬프트 스캔을 완화 조치로 설명합니다. 그 페이지는 CVE-2026-18252를 언급하지 않으며, 그 경고는 그것에 대한 설명이 아닙니다. 하지만 이 문서는 신뢰할 수 없는 입력이 파이프라인 접근 권한을 가진 에이전트에 도달하는 것이 GitLab 자체 문서가 이미 고객에게 감수하라고 요청하는 위험임을 보여줍니다.

CI 컨텍스트는 자격 증명이 있는 곳입니다

심각성을 담고 있는 표현은 "CI 맥락에서"이다. 파이프라인 작업은 장난감용 샌드박스가 아니다. 그것은 러너 토큰과 프로젝트가 그 작업에 노출한 모든 시크릿을 가지고 실행된다. 2026년 8월 27일 패치를 보도한 Cyber Security News는 이러한 작업이 흔히 접근할 수 있는 것들—소스 코드, 빌드 아티팩트, 배포 자격 증명, 클라우드 토큰 및 패키지 저장소 자격 증명—을 나열하고, 파이프라인에서의 명령 실행은 러너의 구성과 토큰 범위에 따라 CI 변수를 노출하고, 빌드 아티팩트를 변경하며, 릴리스 워크플로를 변조하거나 연결된 인프라로 더 깊이 접근할 수 있다고 지적한다. 같은 날 GBHackers의 기사도 같은 틀을 사용한다. 어느 매체도 그런 일이 실제로 발생한 사례를 보도하지 않았다.

그 구분은 결함을 어떻게 읽어야 하는지를 규정한다. 이는 에이전트형 구성 요소의 명령 실행 버그이지, 모델이 잘못 작동한 사례가 아니다. 기록은 사용자가 제어하는 소스에서 가져온 구성과 그에 따라 에이전트가 동작한 사실을 설명한다. 검토된 어떤 출처도 이 취약점 이용을 성공적인 프롬프트 인젝션으로 서술하지 않으며, GitLab의 권고문 또한其结果을 모델의 판단 탓으로 돌리지 않는다. 기록된 약점은 신뢰해서는 안 되는 구성 소스를 신뢰하는 코드, 즉 신뢰할 수 없는 제어 영역의 기능 포함에 해당하는 CWE-829이다.

CVSS 점수 두 개와 상호작용 단계 한 개

GitLab의 7.3은 해당 식별자에 부여된 유일한 점수가 아닙니다. 동일한 NVD 레코드에서 NIST의 기본 평가는 8.1입니다. 두 벡터는 한 구성 요소만 다릅니다. GitLab은 사용자 상호 작용이 필요하다고 표시하지만 NIST는 그렇지 않습니다. 두 점수 모두 High 대역에 속하므로 실질적인 차이는 심각도보다는 버그가 발생하는 조건에 더 관련이 있습니다. 프랑스 보건부의 컴퓨터 비상 대응팀인 CERT Santé는 2026년 8월 27일 GitLab의 해석을 따르는 경보를 발표했습니다. 7.3, 사용자 상호 작용 필요, 그리고 구성 처리를 촉발하는 상호 작용으로 설명된 트리거입니다.

악용 신호는 조용하며, 그 하나하나가 텔레메트리가 아니라 기록을 해석한 것입니다. CISA의 조정자 역할이 2026년 8월 26일 NVD 항목에 저장한 SSVC 평가에서는 악용을 "none", 자동화 가능성을 "no", 기술적 영향을 "total"로 기록합니다. FIRST의 EPSS 모델은 2026년 10월 28일 악용 확률을 0.00519, 즉 0.5%를 조금 넘는 수준으로 산정했으며, 이는 점수가 매겨진 취약점 중 44번째 백분위수에 해당합니다. OpenCVE의 기록에는 같은 EPSS 수치가 담겨 있고, 해당 CVE가 CISA의 알려진 악용 취약점 목록에 없음을 나열합니다. CERT Santé의 경보는 "적극적 악용: no"로 기록하며, 해당 날짜에 공개 소스에 개념 증명(PoC)이 존재하지 않았다고 추가합니다. 그 어느 것도 누군가 시도했다는 사실에 대한 증거는 아니며, 기록된 시도가 전혀 없다는 것일 뿐입니다.

적어도 하나의 집계 사이트인 Mallory는 동일한 식별자에 대해 8.7점을 유포하고 있습니다. NVD의 기록에는 CVSS 4.0 지표가 전혀 없습니다 — GitLab의 7.3과 NIST의 8.1뿐입니다 — 따라서 그 수치는 검토된 어떤 1차 출처에서도 재현할 수 없으며, 여기서는 사용되지 않습니다.

무엇이 확립되었고, 무엇이 그렇지 않은가

아카이브는 이 항목을 신뢰도 A, 이의 제기 없음, 실제 피해 기록 없음으로 평가한다. 그 등급은 여기서 실질적인 역할을 한다. 문서들이 서로 일치하며, 그중 어느 것도 피해를 기술하지 않는다. 아래의 구분은 한 줄 요약이 담을 수 없는 부분이다.

• 확인됨: Duo Claude AI 에이전트의 결함으로 인해 인증된 Developer 역할이 CI 컨텍스트에서 임의 명령을 실행할 수 있었습니다. 그 원인은 에이전트가 사용자가 제어하는 소스의 구성을 처리했기 때문입니다. GitLab은 CWE-829 및 CVSS 7.3을 부여했습니다.

• 확인된 내용: 영향을 받는 범위와 수정 사항 — 18.9부터 19.1.7까지, 19.2부터 19.2.5까지, 19.3부터 19.3.1까지이며, 2026년 8월 26일 19.1.7, 19.2.5, 19.3.1에서 패치되었습니다. 이 취약점은 GitLab EE에 대해 기록되었으며, 같은 릴리스에서는 다른 결함에 대해 CE도 패치했습니다.

• 확인된 사실: GitLab의 HackerOne 프로그램을 통해 thwin_htet에게 보고자 공로를 인정한 점, 그리고 GitLab이 고객들에게 밝힌 운영 현황 — GitLab.com은 이미 패치 완료, GitLab Dedicated는 필요한 조치 범위 밖, 자체 관리형 설치에는 즉시 업그레이드하도록 안내.

• 확인된 사실: 악용 사례는 보고되지 않았습니다. CISA의 SSVC 평가에서는 없음으로 나타났고, EPSS는 2026년 10월 말까지 1% 미만을 유지했습니다. OpenCVE에 따르면 해당 CVE는 KEV 목록에 없으며, CERT Santé는 공개 다음 날 활성 악용이 없었음을 기록했습니다.

• 출처는 있으나 공급업체가 확인하지 않음: 영향 설명, 즉 비밀 정보 조회 가능, 아티팩트 변경 가능, 릴리스 변조 가능은 CI 작업의 토큰 범위가 일반적으로 허용하는 내용에 대한 보도 측의 설명이지, 이 사례에서 그중 어느 하나라도 실제로 발생했다는 발견은 아니다. Cyber Security News와 GBHackers는 모두 이를 "could" 및 "depending on"이라는 표현으로 서술하며, 어느 쪽도 실제 사례를 보고하지 않는다.

• 확인되지 않음: 어떤 Duo 기능과 어떤 구성 필드가 관련되었는지, 그리고 사용자가 제어하는 소스가 실제로 무엇이었는지. 공급업체의 진술은 이를 특정하지 않습니다.

• 확인되지 않은 사항: 영향을 받은 대역에 존재했던 자체 관리형 Enterprise 설치가 몇 개인지, 2026년 8월 26일 이후에 업그레이드한 설치가 몇 개인지, 또는 공격을 받은 사례가 있었는지 여부. 검토된 어떤 출처도 도입률을 측정하지 않았으며, 벤더는 늦게 패치된 인스턴스에 대한 탐지 방법을 공개하지 않았다.

• 아직 규명되지 않음: 기술적 메커니즘. GitLab의 90일 규칙에 따라 이 이슈는 2026년 11월 말경 공개되며, 그때까지 연결된 트래커 항목은 아직 공개적으로 존재하지 않는 설명을 가리키는 포인터입니다.

수정, 다운타임, 그리고 90일의 기다림

GitLab은 2026년 8월 26일 Community 및 Enterprise Edition용 19.3.1, 19.2.5, 19.1.7을 출시하며, 모든 자체 관리형 설치를 즉시 해당 버전 중 하나로 업그레이드할 것을 강력히 권장한다고 밝혔다. 이번 릴리스에서 Community Edition 부분이 중요한 이유는 같은 배치의 다른 취약점인 CVE-2026-77801(가져오기 파이프라인의 서비스 거부 문제, 6.5 등급)이 EE뿐 아니라 CE에도 영향을 미치기 때문이다. CVE-2026-18252 자체는 Enterprise Edition에만 기록되어 있다.

벤더 측 우회 방법은 없습니다. CERT Santé의 경고에는 우회 방법이 존재하지 않는다고 기록되어 있고, GitLab의 안내에도 우회 방법은 제시되지 않으며, 명시된 유일한 해결 조치는 업그레이드입니다. 이번 릴리스도 그대로 적용할 수 있는 것은 아닙니다. 세 버전 모두 정규 데이터베이스 마이그레이션이 포함되어 있고 19.3.1과 19.2.5에는 배포 후 마이그레이션이 포함되어 있어, GitLab은 단일 노드 설치 환경에서는 마이그레이션이 완료될 때까지 다운타임이 발생한다고 밝히고 있습니다. 다중 노드 배포 환경에서는 GitLab의 제로 다운타임 업그레이드 절차를 사용할 수 있습니다.

다른 여섯 가지 수정 사항도 살펴볼 만한데, 그중 하나가 이 항목의 주제와 밀접합니다. 4.3으로 평가되었고 동일한 세 버전에서 수정된 CVE-2026-15387은 개발자 역할 권한을 가진 인증된 사용자가 작업 종속성의 부적절한 처리로 인해 Pipeline Execution Policy 적용 작업의 실행 환경에 영향을 미칠 수 있게 했습니다. 작업 실행으로 이어지는 개발자 역할 경로 두 개가 동일한 패치에서 차단되었으며, 하나는 High, 하나는 Medium으로 평가되었습니다.

GitLab의 공개 정책은 해당 메커니즘이 왜 불투명하게 유지되는지 설명한다. 패치 노트에 따르면 각 취약점을 상세히 다루는 이슈는 해당 취약점이 패치된 릴리스로부터 90일 후 이슈 트래커에 공개된다. 2026년 8월 26일부터 계산하면, 이는 CVE-2026-18252에 대한 기술 설명문을 2026년 11월 마지막 주에 두게 된다. 그때까지 CVE 레코드의 트래커 참조 뒤에는 이 기사가 읽을 수 있는 공개 기술 설명문이 없다.

이것이 GitLab의 다른 에이전트 결함과 비교해 어디에 위치하는지

GitLab은 2026년 10월 2일 두 번째이자 별개의 에이전트 관련 취약점인 CVE-2026-90970을 공개했습니다. 이 취약점은 9.9로 평가되었으며, Duo Claude AI 에이전트가 아니라 AI Gateway에 존재하고, CI 구성이 아니라 조작된 flow 프롬프트 템플릿을 통해 도달할 수 있습니다. 두 취약점은 서로 다른 구성 요소에 있는 서로 다른 버그이고 점수도 다르며, 아카이브는 이를 별도 항목으로 보관합니다. 이들이 공유하는 것은 형태입니다 — 전달 경로에 있는 AI 구성 요소가 낮은 권한의 사용자가 영향을 줄 수 있는 구성을 처리하는 것 — 그래서 10월의 취약점은 이 취약점 대신이 아니라 이 취약점과 함께 읽을 가치가 있습니다.

운영자 입장에서 선택지는 좁습니다. 버전을 확인하십시오. 19.1.7, 19.2.5, 19.3.1이 수정된 릴리스이며, 명시된 세 범위에 속하는 모든 버전이 영향을 받습니다. 그동안 실행할 우회 방법은 없고, 11월 말까지는 늦게 패치된 인스턴스를 대조해 점검할 공개 기술 설명도 없습니다. 존재하는 것은 누구도 악용 사례를 보고하지 않았다는 기록뿐인데, 이는 증거가 없다는 뜻이지 침해가 발생하지 않았다는 벤더의 보증은 아닙니다.