AI 에이전트 기억장치도 해킹된다…"원격 코드 실행도 가능"

[디지털데일리 김보민기자] 인공지능(AI) 에이전트가 작업 과정에서 활용하는 기억장치가 해킹 통로가 될 수 있다는 연구 결과가 공개됐다.

16일 업계에 따르면 글로벌 보안 연구조직 체크포인트리서치는 상태 유지형 AI 에이전트 개발 프레임워크 랭그래프(LangGraph) 영속성 계층에서 총 3건의 보안 취약점을 발견했다. 이 가운데 2건은 연계 공격을 통해 원격 코드 실행(Remote Code Execution)까지 가능한 것으로 분석됐다.

연구진에 따르면 랭그래프는 랭체인(LangChain) 확장 프레임워크로, 상태를 유지하는 다중 에이전트 AI 시스템 구축을 지원한다. 월간 5000만회 이상 다운로드를 기록하고 있으며, 실행 과정에서 생성되는 상태 정보를 저장하기 위해 체크포인터라는 기능을 제공한다.

체크포인터는 각 단계 실행 상태를 저장하고 기억하는 역할을 담당한다. 랭그래프는 SQLite와 포스트그레SQL(PostgreSQL) 기반 체크포인터를 지원하며, 이를 통해 AI 에이전트는 이전 실행 결과와 상태를 유지하면서 작업을 이어갈 수 있다. 연구진은 이 과정에서 저장된 데이터와 조회 기능이 공격에 악용될 수 있는 취약점이 존재한다고 설명했다.

첫 번째 취약점은 'SQLite 체크포인터'에서 발견된 SQL인젝션(SQL Injection) 취약점이다. SQLite 체크포인터는 내부 테이블에 실행 상태를 저장한다. 이 가운데 메타데이터 컬럼에는 사용자 ID와 실행 단계, 입력 정보 등 체크포인트와 관련된 추가 정보가 JSON 형식으로 저장된다.

사용자는 함수를 통해 저장된 체크포인트를 조회할 수 있으며, 필터 기능을 이용해 특정 메타데이터 조건에 맞는 항목만 검색할 수 있다. 문제는 필터에 포함된 키 값이 SQL 쿼리를 생성하는 과정에서 충분한 검증 없이 사용된다는 점이다.

연구진은 공격자가 작은따옴표(') 등을 포함한 값을 삽입할 경우 JSON 경로 문자열을 벗어나 임의 SQL 구문을 주입할 수 있다고 설명했다. 이를 통해 데이터베이스 조회 구문 자체를 조작하는 SQL 인젝션 공격이 가능해진다.

특히 공격자는 구문을 활용해 정상 데이터 외에 자신이 만든 가짜 체크포인트 레코드를 조회 결과에 추가할 수 있다. 해당 가짜 레코드에는 공격자가 원하는 직렬화 데이터가 포함될 수 있으며, 이후 시스템이 이를 정상 데이터로 처리하게 된다.

연구진은 SQL 인젝션 자체도 문제지만, 이 취약점이 이후 역직렬화 과정과 결합될 경우 더 심각한 결과로 이어질 수 있다고 지적했다. 특히 동일한 유형의 SQL 인젝션 취약점이 레디스(Redis) 체크포인터에서도 확인된 점을 주목했다. 레디스 체크포인터 역시 사용자 제어가 가능한 필터 키가 파라미터 바인딩 없이 쿼리에 직접 반영되는 구조를 사용하고 있었다.

두 번째 취약점은 메시지팩 역직렬화 취약점이다. 랭그래프는 데이터를 저장하고 불러오는 과정에서 JSON과 메시지팩을 지원한다. 이 가운데 메시지팩은 JSON보다 저장 용량이 작고 처리 속도가 빠른 바이너리 직렬화 형식으로, 랭그래프는 러스트(Rust) 기반 구현체를 사용하고 있다.

문제는 메시지팩 확장 기능을 처리하는 과정에서 발생했다. 랭그래프는 사용자 정의 객체를 지원하기 위해 자체 확장 처리 기능을 구현했는데, 이 과정에서 특정 모듈과 함수를 동적으로 불러와 실행할 수 있는 구조를 사용했다. 연구진에 따르면 공격자가 직렬화 데이터를 제어할 수 있는 경우 불러올 모듈과 함수, 전달할 인자까지 조작할 수 있다. 이 경우 서버에서 임의 명령 실행이 가능해져 원격 코드 실행으로 이어질 수 있다.

연구진은 "랭체인이 세 가지 취약점 모두에 대한 보안 패치를 완료했다"며 버전 업데이트를 권고했다.