무슨 일이 있었나
VulnCheck는 (2026-10-18) LobsterAI가 내보낸 제공자 API 키를 하드코딩된 'lobsterai-APP' 비밀번호로 암호화하여, 내보내기 파일을 가진 사람이 키를 유도하고 저장된 모든 AI 제공자 API 키를 해독할 수 있다고 발표했습니다. CVSS 5.5 (v3.1) / 6.8 (v4.0), CWE-321.
왜 중요한가
내보낸 설정을 얻은 로컬 뷰어 엔티티는 AI 제공자 사용량 청구에 사용되는 원시 API 키를 복구하여, 피해자의 LLM 계정에 대한 계정 탈취 및 비용 남용을 가능하게 합니다.
공격 경로
제공자 API 키는 상수 'lobsterai-APP' 비밀번호로 암호화됩니다. 제공자 내보내기 파일을 가진 공격자는 포함된 salt를 사용하여 PBKDF2를 통해 AES-GCM 키를 유도하고(CWE-321 하드코딩된 비밀번호) 저장된 모든 제3자 AI 제공자 API 키를 복구합니다.
영향받는 시스템
netease-youdao LobsterAI 2026.10.16 이전
완화 방안
LobsterAI 2026.10.16 (수정 커밋 1eb28c40d7e42d6cbade07874e6f6c068b6a9a64)으로 업그레이드하고 내보낸 제공자 키를 모두 교체하세요.