"제어 능력 상실 가능" 고스트로보틱스 비전 60 '보안 취약점' 다시 드러나

스페인 국립 사이버보안 연구소 INCIBE 조사 결과
제어용 애플리케이션, 인증 절차 미비…장비 탈취 가능성 주장

INCIBE가 공개한 비전 60 모바일 APK 관련 취약점 보고서. (사진=INCIBE)

[더구루=홍성일 기자] 스페인 국립 사이버보안 연구소 'INCIBE(Instituto Nacional de Ciberseguridad)'가 LIG 디펜스&에어로스페이스(LIG D&A) 미국 자회사 고스트로보틱스의 4족보행 로봇 '비전 60(Vision 60)'에 보안 취약점을 다시 지적했다. 연구소 측은 해당 취약점이 악용될 경우 비전 60이 수집한 정보의 유출은 물론 제어권까지 탈취될 수 있다고 우려했다.

28일 INCIBE에 따르면 보고서를 통해 비전 60을 제어하는 모바일 제어용 애플리케이션(앱)에서 3가지 보안 취약점이 확인됐다. 이번에 공개된 취약점 확인 시험은 APK 5.5.0 버전을 대상으로 진행됐다.

INCIBE는 지난해 11월에도 비전 60 관련 취약점을 보고한 바 있다. 당시 LIG D&A는 "해당 시험이 보안 시스템이 적용되지 않은 '개발자 모드'에서 진행된 것"이라며 "실제 출하되는 버전과는 다르다"고 답변했다. INCIBE는 스페인 디지털전환부 산하 공기업으로 민간, 공공영역 전반에 사이버보안 분야 지원을 제공하고 있다.

INCIBE가 확인한 첫 번째 취약점(CVE-2026-12989)은 모바일 앱 내 인증 메커니즘 부재로, 와이파이(Wi-Fi) 네트워크를 통해 비인가 이용자가 접근할 수 있다는 내용이었다. INCIBE 연구진은 "해당 취약점을 통해 공격자가 웹 관리 인터페이스, HTTP API에 제한없이 접근할 수 있다"며 "실시간 카메라 영상을 확인할 수 있는 것은 물론 이동 제어, 각종 센서에 명령을 내릴수도 있다"고 설명했다.

스페인 육군이 미국 고스트로보틱스의 4족 보행 로봇

두 번째(CVE-2026-12990)는 접근 제어 취약점으로 적절한 클라이언트 검증, 세션 무결성 검사 없이 여러 세션이 동시에 실행될 수 있는 것으로 확인됐다. 이에 공격자는 정상 세션이 활성화된 상태에서 비전 60에 접근할 수 있다. 즉 임무에 투입된 로봇에 접속해 어떤 정보를 취득하고 있는지 실시간으로 확인할 수 있다는 의미다.

세 번째(CVE-2026-12991)로 지적받은 사항은 암호화 메커니즘이 누락돼 있어 시스템이 그대로 공격자에게 노출될 수 있다는 내용이었다. INCIBE는 해당 취약점을 통해 공격자가 비전 60의 조종권한을 탈취하고, 다시 제어권을 확보하지 못하도록 막을 수 있다고 지적했다.

이번 INCIBE의 보고서는 스페인에서도 주목하고 있다. 스페인 육군이 지난 2022년부터 비전 60을 도입해 테스트를 진행하고 있기 때문이다. 올해 초에는 프린시페 제3보병연대 전술 훈련에 비전 60을 투입해 전술 단위에 통합될 수 있는지를 검증하기도 했다.

INCIBE 측은 "해당 취약점이 악용될 경우 시스템의 기밀성, 무결성은 물론 물리적 안정성까지 침해될 수 있다"며 "현재까지 보고된 패치는 없었다"고 말했다.