무슨 일이 있었나
VulnCheck은 (2026-10-19) Cognition 0.13.0 이전 버전이 에이전트 샌드박스 백엔드를 기본적으로 로컬 실행으로 설정하고 REST/SSE API에 인증을 제공하지 않는다고 공개했습니다. 인증되지 않은 공격자는 세션을 생성하고 메시지를 게시하여 에이전트 루프가 로컬 셸 백엔드를 통해 공격자가 지시한 셸 명령을 실행하도록 할 수 있습니다. CVSS 9.8 (v3.1) / 9.2 (v4.0), CWE-306/CWE-1188.
왜 중요한가
이것은 AI 에이전트 오케스트레이션 플랫폼에 대한 셀프 서비스 인증 없는 RCE입니다: 네트워크 접근만 가진 공격자는 고객 에이전트가 실행되는 머신에서 임의 코드를 실행하여 전체 에이전트/LLM 스택으로 피벗할 수 있습니다.
공격 경로
REST/SSE API는 인증 없이 제공되며 에이전트 샌드박스는 기본적으로 로컬 실행으로 설정됩니다. 인증되지 않은 POST /sessions (생성된 세션 포함) 후 POST /sessions/{id}/messages는 Deep Agents ReAct 루프를 로컬 셸 백엔드를 통해 구동하여 서버 사용자 권한으로 공격자가 제어하는 셸 명령을 실행합니다 (CWE-306 인증 누락 + CWE-1188 안전하지 않은 기본값).
영향받는 시스템
Cognition < 0.13.0 (pkg:github/CognicellAI/Cognition)
완화 방안
지원되지 않는 호스트/로컬 실행에 대해 실패-닫힘(fail-closed) 배포를 적용하고 더 엄격한 테넌트/범위 강제를 추가하는 v0.13.0으로 업그레이드하세요.