AI 클러스터 심장부 Ray에 원격코드실행 구멍 — CISA가 사흘 준 이유
AI 뉴스 SVIL Ray CISA 보안 섀도우레이

AI 클러스터 심장부 Ray에 원격코드실행 구멍 — CISA가 사흘 준 이유

SVIL - Singularity Visual Intelligence Lab 16 min read

보안 권고는 보통 몇 주의 유예를 줍니다. 그런데 이번에는 사흘이었습니다. 미국 사이버보안·인프라보안국이 8월 17일 목록에 올린 취약점의 조치 기한이 8월 20일, 바로 오늘입니다.

청록빛 정육면체 셋이 일렬로 놓여 있고 마지막 하나가 격렬하게 밝게 타오르는 개념 이미지

사흘 안에 고치라는 통보가 내려왔다

미국 사이버보안·인프라보안국(CISA)이 2026년 8월 17일 CVE-2025-62593을 알려진 악용 취약점(KEV) 목록에 추가했습니다. 조치 기한은 8월 20일로 정해졌습니다.

KEV 목록은 이론적 위험이 아니라 실제로 공격에 쓰이고 있는 취약점만 모아 둔 명단입니다. 여기에 오르면 미국 연방 민간기관은 정해진 기한 안에 반드시 조치해야 합니다.

무슨 일이 있었나 — CISA 긴급 목록 등재

사흘이라는 기한은 이례적으로 짧습니다. 보통은 2~3주가 주어집니다.

기한이 짧다는 것은 두 가지를 뜻합니다. 악용이 이미 활발하게 벌어지고 있다는 것, 그리고 조치 방법이 명확해서 오래 걸릴 이유가 없다는 것입니다. 이번 건은 둘 다 해당합니다.

어두운 정육면체 하나를 찬란한 청록빛 고리가 에워싸고 있는 개념 이미지

Ray가 무엇이길래 문제인가

문제가 된 소프트웨어는 Ray입니다. 파이썬으로 만든 작업을 여러 대의 컴퓨터에 나눠 돌리게 해 주는 오픈소스 분산 컴퓨팅 프레임워크입니다.

AI 학습과 추론은 한 대로 감당이 안 되는 경우가 많습니다. GPU 수십, 수백 장을 묶어 하나처럼 쓰려면 작업을 쪼개 배분하고 결과를 모으는 층이 필요한데, Ray가 그 역할을 합니다. 기계학습 개발, 데이터 처리, 대규모 파이썬 작업에 널리 쓰입니다.

누가 쓰고 있나 — 오픈AI부터 아마존까지

Ray는 특정 회사의 내부 도구가 아닙니다. 아마존, 애플, 오픈AI를 비롯한 여러 기업이 기계학습 작업을 확장하는 데 사용해 온 것으로 알려져 있습니다.

AI 인프라의 아래층에 조용히 깔려 있는 부품이라는 뜻입니다. 이런 부품의 취약점은 영향 범위가 넓고, 정작 쓰는 쪽에서는 자기가 쓰고 있다는 사실조차 명확히 파악하지 못하는 경우가 많습니다.

작은 청록빛 정육면체들이 서로 이어져 하나의 빽빽한 군집을 이룬 개념 이미지

취약점의 정체 CVE-2025-62593

이 취약점은 코드 주입 결함으로 분류됩니다. Ray의 HTTP API 엔드포인트에 대한 보호가 충분하지 않은 데서 비롯됐습니다.

특히 문제가 되는 것은 작업 실행과 관련된 엔드포인트입니다. 이 경로는 요청을 받으면 코드를 실행시킬 수 있습니다. 원래 그러라고 만든 기능인데, 아무나 부를 수 있다면 그대로 침입 통로가 됩니다.

CVSS 9.4가 뜻하는 위험도

이 결함의 CVSS 4.0 점수는 9.4입니다. 10점 만점 기준이라 사실상 최상위 등급입니다.

점수가 높게 매겨진 이유는 결과의 심각성과 공격의 용이성이 겹쳤기 때문입니다. 원격에서 임의 코드를 실행할 수 있고, 그 과정에 특별한 권한이나 복잡한 조건이 필요하지 않습니다.

하나의 밝은 점에서 가느다란 청록빛 직선들이 사방으로 뻗어 나가는 개념 이미지

취약점의 실제 위치 — 관통당한 방어선

Ray도 아무 대비가 없었던 것은 아닙니다. 브라우저를 통한 접근을 막으려는 방어 장치가 들어 있었습니다.

문제는 그 방어가 무엇에 기대고 있었느냐입니다. 결과적으로 이 장치는 뚫렸고, 뚫린 방식이 이번 사건에서 가장 배울 점이 많은 부분입니다.

막으려던 방어가 왜 뚫렸나

Ray의 방어는 HTTP 요청에 붙어 오는 User-Agent 헤더를 확인하는 것이었습니다. 이 값이 Mozilla로 시작하면 브라우저에서 온 요청으로 보고 막았습니다.

발상 자체는 이해할 수 있습니다. 사람이 브라우저 주소창에 주소를 쳐서 들어오는 상황을 막고 싶었던 것입니다. 그런데 이 값은 고정된 신원 증명이 아닙니다.

가느다란 청록빛 광선이 어두운 정육면체를 위에서 곧장 뚫고 들어가는 개념 이미지

브라우저 헤더 하나에 기댄 설계

User-Agent는 클라이언트가 자기 자신을 소개하는 문자열일 뿐입니다. 보내는 쪽이 마음대로 정할 수 있고, 브라우저의 요청 동작에 따라 값이 달라지기도 합니다.

보안에서는 이런 것을 신뢰할 수 없는 입력이라고 부릅니다. 공격자가 값을 정할 수 있는 항목으로 접근 통제를 하면, 그건 통제가 아니라 부탁입니다.

DNS 리바인딩이라는 오래된 기법

여기에 결합된 것이 DNS 리바인딩입니다. 이름은 낯설어도 원리는 오래된 기법입니다.

공격자가 자기 도메인의 주소 정보를 짧은 시간 뒤에 바꿔치기합니다. 브라우저는 처음에 공격자 서버를 보고 페이지를 받아 오지만, 잠시 뒤 같은 도메인이 피해자의 내부 주소를 가리키게 됩니다. 브라우저 입장에서는 여전히 같은 사이트이므로, 그 사이트의 스크립트가 내부 서비스에 접근하게 됩니다.

청록빛 정육면체 하나가 눈부실 만큼 강렬하게 발광하는 개념 이미지

광고 한 번 보는 것으로 끝나는 공격

두 조각을 합치면 공격 시나리오가 완성됩니다. Ray를 돌리고 있는 개발자가 악성 웹사이트를 방문하거나, 악성 광고를 보기만 해도 됩니다.

그 순간 브라우저가 대신 내부의 Ray에 요청을 보내고, User-Agent 검사는 통과하며, 작업 실행 엔드포인트가 임의 코드를 돌립니다. 개발자는 아무것도 클릭하지 않았고 파일도 받지 않았습니다.

왜 파이어폭스와 사파리인가

이 공격은 파이어폭스와 사파리에서 성립하는 것으로 보고됐습니다. 브라우저마다 요청 헤더를 다루는 방식과 내부망 접근에 대한 제한이 조금씩 다르기 때문입니다.

다만 특정 브라우저를 피하면 안전하다고 읽는 것은 위험합니다. 근본 원인은 브라우저가 아니라 Ray 쪽의 접근 통제 설계에 있습니다.

청록빛 고리 하나가 한 지점에서 끊어져 벌어진 개념 이미지

개발자 노트북이 입구가 된다

이 취약점의 특징은 침입 지점이 서버가 아니라 사람의 작업 환경이라는 데 있습니다. 방화벽 바깥에서 서버 문을 두드리는 방식이 아닙니다.

이미 안에 있는 개발자의 브라우저를 대리인으로 삼습니다. 경계 방어를 아무리 두껍게 해도 이 경로는 막히지 않습니다. 내부망이니까 괜찮다는 가정이 정확히 여기서 무너집니다.

섀도우레이 2.0이라는 실제 공격

이론에 그친 이야기가 아닙니다. 패치되지 않은 Ray 인스턴스를 노린 공격 캠페인이 실제로 관측됐고, 섀도우레이 2.0이라는 이름이 붙었습니다.

올리고(Oligo)의 보안 연구진이 2025년 11월 초에 이 활동을 처음 포착했습니다. 즉 문제가 알려지고 목록에 오르기 전부터 이미 공격이 진행되고 있었습니다.

어두운 정육면체가 허공에 떠 있고 그 아래를 가느다란 청록빛 광선이 받치고 있는 개념 이미지

GPU 클러스터가 채굴 봇넷이 되다

공격자의 목적은 데이터 탈취가 아니라 연산 자원이었습니다. 엔비디아 GPU가 달린 감염 클러스터를 암호화폐 채굴 봇넷으로 바꾸는 것이 목표였습니다.

AI용 GPU 클러스터는 채굴 관점에서 대단히 매력적인 표적입니다. 성능이 높고, 24시간 돌아가는 게 정상이라 부하가 올라가도 이상하게 보이지 않습니다. AI 학습이 원래 그렇게 생겼기 때문입니다.

스스로 퍼지는 악성코드의 구조

이 캠페인의 악성코드는 자기 복제형으로 보고됐습니다. 감염된 클러스터가 다음 표적을 찾아 스스로 퍼져 나가는 구조입니다.

자기 복제는 대응을 어렵게 만듭니다. 한 곳을 정리해도 다른 감염원에서 다시 들어올 수 있어서, 조직 전체를 동시에 정리하지 않으면 재감염이 반복됩니다.

청록빛 정육면체 두 개가 밝은 선을 따라 서로 자리를 맞바꾸는 개념 이미지

깃랩 저장소를 통한 지역별 배포

배포 경로도 눈여겨볼 만합니다. 공격자는 깃랩 저장소를 통해 지역별로 다른 악성코드를 배포한 것으로 확인됐습니다.

지역에 따라 다른 코드를 내려보내면 탐지가 늦어집니다. 한 지역의 분석 결과가 다른 지역에 그대로 적용되지 않기 때문입니다. 규모 있는 조직이 운영하는 캠페인의 특징입니다.

언제부터 벌어지고 있었나

시간표를 정리하면 이렇습니다. 2025년 11월 초 공격 활동이 처음 관측됐고, 2026년 8월 17일 CISA가 KEV 목록에 올렸으며, 8월 20일이 조치 기한입니다.

공격이 관측되고 나서 목록 등재까지 상당한 시간이 흘렀습니다. 이 간격 동안 패치하지 않은 클러스터는 계속 노출돼 있었다는 뜻입니다.

작고 흐릿하던 점 하나가 갑자기 찬란한 청록빛으로 타오르는 개념 이미지

8월 20일이라는 기한의 의미

이 기한은 미국 연방 민간기관에 적용되는 의무입니다. 그 밖의 조직에는 법적 강제력이 없습니다.

다만 기한이 짧게 잡혔다는 사실 자체가 신호입니다. 규제 기관이 지금 이 순간 위험이 크다고 판단했다는 뜻이므로, 의무 대상이 아니어도 같은 속도로 움직이는 게 합리적입니다.

연방기관에만 해당하는 이야기인가

오히려 민간 쪽이 더 위험할 수 있습니다. 연방기관은 자산 목록 관리가 제도화돼 있지만, 스타트업이나 연구실은 누가 어디에 Ray를 띄웠는지 파악조차 어려운 경우가 많습니다.

실험용으로 잠깐 띄운 클러스터가 그대로 남아 도는 상황이 흔합니다. 관리 대상 목록에 없는 자산이 가장 위험합니다.

똑같이 생긴 청록빛 판 네 개가 같은 간격으로 갈라져 놓인 개념 이미지

그림자 인프라라는 더 큰 문제

이번 사건이 드러낸 구조적 문제는 그림자 인프라입니다. 조직이 공식적으로 파악하지 못한 채 돌아가는 컴퓨팅 자원을 말합니다.

AI 붐 이후 이 문제가 심해졌습니다. GPU를 빌려 실험하는 일이 잦아졌고, 그때마다 뜨는 클러스터의 수명 관리가 느슨합니다. 취약점이 발표돼도 어디를 고쳐야 하는지 모르는 상태가 됩니다.

AI 인프라 보안이 늘 뒤처지는 이유

AI 도구들은 대체로 연구 환경에서 출발했습니다. 신뢰할 수 있는 사람들이 닫힌 망에서 쓴다는 전제 위에 설계된 것이 많습니다.

그 도구가 그대로 상용 환경으로 넘어오면서 전제만 사라집니다. User-Agent 확인 같은 방어가 남아 있는 것도 이 때문입니다. 연구실에서는 충분했지만 인터넷에서는 아닙니다.

빽빽한 어두운 정육면체 무리 가운데 하나만 청록빛으로 밝게 빛나는 개념 이미지

실제 사례 — 내부망이라는 착각

이번 공격의 교훈은 내부망이라는 개념이 더 이상 안전 경계가 아니라는 것입니다. 공격자는 방화벽을 뚫은 게 아니라, 안에 있는 브라우저에게 대신 요청하게 시켰습니다.

같은 원리의 공격은 Ray만의 문제가 아닙니다. 로컬에서 관리 화면을 열어 두는 개발 도구는 모두 같은 위험을 안고 있습니다. 인증 없이 열어 둔 관리 포트가 있다면 그것이 곧 대상입니다.

지금 확인해야 할 것들

가장 먼저 확인할 것은 조직 안에서 Ray를 쓰는 곳이 어디인지입니다. 버전이 2.52.0보다 낮으면 영향 범위에 들어갑니다.

그다음은 대시보드와 API 포트가 어디까지 열려 있는지입니다. 인터넷에 직접 노출된 인스턴스가 있다면 우선순위를 가장 높게 두어야 합니다.

한 점에서 청록빛 정육면체들이 바깥으로 계속 불어나며 퍼지는 개념 이미지

2.52.0으로 올리는 것 외에 할 일

Ray 프로젝트는 2.52.0에서 이 문제를 수정했습니다. 업그레이드가 1차 조치입니다.

그러나 버전만 올리고 끝내면 다음 취약점 때 같은 일이 반복됩니다. 관리 인터페이스에 인증을 붙이고, 접근 가능한 네트워크 범위를 좁히고, 이미 감염됐을 가능성을 전제로 이상 부하와 외부 통신 기록을 함께 확인해야 합니다.

개인 개발자에게 필요한 최소한의 방어

개인 작업 환경에서도 할 수 있는 일이 있습니다. 로컬에서 Ray나 비슷한 도구를 띄웠다면, 쓰지 않을 때 꺼 두는 것이 가장 확실합니다.

같은 브라우저로 개발 도구와 일반 웹서핑을 함께 하지 않는 것도 도움이 됩니다. 이번 공격이 성립한 조건 자체가 그 두 가지가 한 브라우저 안에 있었다는 점이기 때문입니다.

똑같이 생긴 청록빛 정육면체들이 하나의 긴 줄을 이루며 이동하는 개념 이미지

핵심 정리

AI 분산 컴퓨팅 프레임워크 Ray에서 원격 코드 실행으로 이어지는 취약점 CVE-2025-62593이 확인됐고, CISA가 8월 17일 이를 악용 취약점 목록에 올리며 8월 20일까지 조치하도록 요구했습니다. CVSS 4.0 점수는 9.4입니다.

원인은 User-Agent 헤더에 의존한 접근 통제였고, 여기에 DNS 리바인딩이 결합되면서 악성 웹사이트 방문이나 악성 광고 노출만으로 개발자의 환경에서 코드가 실행될 수 있게 됐습니다. 섀도우레이 2.0 캠페인이 이 결함을 이용해 GPU 클러스터를 채굴 봇넷으로 바꿔 왔습니다. 조치는 2.52.0 업그레이드이며, 관리 포트 노출 범위 점검이 함께 필요합니다.

참고하실 만한 것

보안 뉴스는 용어가 어려워 지나치기 쉽지만, 이번 건의 교훈은 한 문장으로 줄어듭니다. 상대가 정할 수 있는 값으로 문을 지키면 그건 잠금장치가 아닙니다.

SVIL 블로그에서는 AI 인프라와 보안 소식을 큰 글씨와 쉬운 설명으로 정리해 전해 드리고 있습니다. 전문 용어는 처음 나올 때 뜻을 함께 적어 두었습니다.

출처

  1. CISA — Adds One Known Exploited Vulnerability to Catalog
  2. CISA — Known Exploited Vulnerabilities Catalog (CVE-2025-62593)
  3. The Hacker News — CISA Flags Actively Exploited Ray Flaw
  4. GitHub Advisory — Ray Critical RCE via Safari & Firefox
  5. eSecurity Planet — ShadowRay 2.0 Exploits Ray Vulnerability to Hijack AI Clusters
  6. Security Affairs — CISA adds a Ray-Project Ray flaw to its KEV catalog
  7. Cybersecurity News — Ray-Project Ray Code Injection Vulnerability Exploited
  8. Mallory — RCE in Ray via DNS Rebinding and User-Agent Guard Bypass

협업문의 : kuroicode@gmail.com
블로그 : https://blog.svil.dev/
홈페이지 : https://kuroicode-beep.github.io/svil-homepage/