무슨 일이 있었나
NVD는 2026-09-29에 CVE-2026-102697(CVSS 7.8 v3.1 / 8.5 v4.0, 높음)을 게시했습니다. Ollama의 실험적 에이전트 모드 Bash 도구 승인 메커니즘이 셸 구문을 올바르게 파싱하지 못합니다. 명령을 접두사로 승인하므로, 프롬프트 인젝션을 통해 모델 출력에 영향을 줄 수 있는 공격자는 세션별 승인 없이 실행되는 `;`/`&&`로 연결된 추가 셸 명령을 추가할 수 있습니다.
왜 중요한가
Ollama는 가장 널리 배포된 로컬 추론 런타임 중 하나입니다. 에이전트 모드는 모델에게 호스트에서의 Bash 접근 권한을 부여하며, 승인 게이팅은 프롬프트가 주입된 모델과 임의 로컬 명령 실행(키 읽기, 데이터 유출, 모델 호스트 변경)을 구분하는 유일한 제어 장치입니다. 이는 널리 사용되는 AI 도구에서 프롬프트 인젝션 -> 호스트 RCE를 가능하게 하는 구체적인 에이전트 권한 부여 우회입니다.
공격 경로
로컬, 사용자 상호작용 필요하지만 프롬프트 인젝션 기반: 공격자는 모델 출력에 영향을 주어 승인된 Bash 명령에 제어 연산자(세미콜론, 논리 연산자)를 추가하여 승인 파서가 보이는 접두사만 승인하도록 합니다.
영향받는 시스템
Ollama 0.14.0 이상 0.31.2 미만(실험적 에이전트 모드 Bash 도구 승인)
완화 방안
Ollama 0.31.2로 업그레이드하세요(수정 커밋 a2b3a5e9). 패치될 때까지 Bash 승인이 활성화된 경우 모든 모델 출력을 신뢰할 수 없는 것으로 취급하고 에이전트 모드 사용을 제한하세요. VulnCheck 권고: https://www.vulncheck.com/advisories/ollama-0.14.0-before-0.31.2-experimental-agent-bash-approval-bypass-via-prefix-based-authorization