무슨 일이 있었나
에이전트의 문서 가져오기 도구에서 CWE-918 SSRF. 도구는 임의의 클라이언트 제공 URL을 가져오고 리디렉션을 따르므로, 문서 콘텐츠를 제어하는 공격자는 간접 프롬프트 주입을 내부 서비스 또는 클라우드 메타데이터에 도달하는 SSRF와 연결하고 응답을 LLM에 다시 피드할 수 있습니다. CVSS 8.7 (CVSS 4.0).
왜 중요한가
외부 콘텐츠(문서) → 주입된 명령 → 내부 엔드포인트로의 서버측 요청 → 민감한 데이터가 모델 컨텍스트로 반환됨. 이는 '문서 읽기' 기능을 내부 네트워크 공개 채널로 무기화합니다.
공격 경로
fetch_docs 및 introspect(openapi/graphql 종류, resolve_source docs_url)는 스킴/호스트 허용 목록 없이 클라이언트 제공 URL을 URLSession에 전달하고 무조건 리디렉션을 따릅니다. 가져온 문서에 포함된 프롬프트 주입 페이로드는 모델을 내부 또는 메타데이터 엔드포인트에 대해 fetch_docs를 호출하고 응답을 대화로 스트리밍하도록 유도합니다.
영향받는 시스템
PsychQuant liveDocs < 0.7.0
완화 방안
liveDocs 0.7.0으로 업그레이드 (GitHub GHSA-xf4p-x7v8-3x4p).