무슨 일이 있었나
2026-10-13 게시(CVSS 4.3, CWE-807), GitLab 권고를 통해, CVE-2026-96893과 동일한 패치 릴리스. NVD REST API를 통해 확인됨.
왜 중요한가
AI 에이전트 플랫폼 토큰은 GitLab에서 에이전트가 어떤 ID로 작동하는지 결정함; 거버넌스를 우회하는 토큰을 통해 낮은 권한의 사용자가 엔터프라이즈 CI/CD에서 의도된 범위를 넘어 에이전트 기능을 작동시킬 수 있음.
공격 경로
Duo Agent Platform 토큰 발급 시 보안 결정에 신뢰할 수 없는 입력에 의존; 특정 세분화된 권한을 가진 사용자가 의도된 에이전트 플랫폼 거버넌스 제약을 우회하는 토큰을 획득함.
영향받는 시스템
GitLab EE 19.1–19.2.8, 19.3–19.3.5, 19.4–19.4.2
완화 방안
패치 릴리스에 따라 GitLab EE 19.2.8 / 19.3.5 / 19.4.2로 업그레이드.