CSA research note: GPUStack CVE-2026-102895 CISA KEV listing - security implications and guidance for AI infrastructure

2026년 11월 9일, CISA는 CVE-2026-102895(GPUStack, AI 모델 서빙을 위한 오픈소스 GPU 클러스터 관리자)를 알려진 악용 취약점(Known Exploited Vulnerabilities) 카탈로그에 추가했으며, 연방 수정 기한은 2026년 11월 12일이고 BOD 26-04에 따른 법의학적 트리아지 플래그가 지정되었습니다. 2026년 11월 10일, Cloud Security Alliance AI Safety Initiative는 이 결함과 AI 인프라에 대한 영향을 분석한 연구 노트를 발표했습니다. CVSS 9.8 취약점으로 인해 루프백에서 발생한 것으로 보이는 모든 요청(동일 호스트 리버스 프록시 또는 위조된 X-GPUStack-Real-IP 헤더를 통해)이 내장 관리자로 처리될 수 있으며, 공격자는 API 키를 생성하고, 워커/클라우드 자격 증명을 읽고, 악성 추론 백엔드를 등록하여 GPU 워커에서 코드 실행을 달성할 수 있습니다—실제로 리버스 셸을 실행하는 데 사용되었습니다. 이 노트는 최소 2.2.0(가급적 2.2.2, CVE-2026-102894도 수정함)으로 업그레이드하고, 패치가 공격자가 생성한 사용자/키를 제거하거나 손상된 호스트를 정리하지 않기 때문에 노출된 2.2.0 미만 인스턴스를 손상된 것으로 간주할 것을 권고합니다. 또한 네트워크 위치에서 신원을 도출하는 기본 설계 패턴을 강조합니다.

AI 모델 서빙 제어 플레인(GPUStack, Ray, LiteLLM)은 CISA KEV 목록에서 주요 표적으로 부상하고 있습니다. 제어 플레인 손상은 공격자에게 모든 GPU 워커, 해당 자격 증명 및 추론 백엔드를 넘겨줍니다. 이 노트는 민간 AI 추론 운영자에게 구체적이고 시간에 민감한 지침을 제공하며, AI 플랫폼 인증에 널리 적용되는 보안 설계 결함(네트워크 위치를 신원으로 사용)을 일반화합니다.

GPUStack을 즉시 >=2.2.2로 패치하고, 노출된 2.2.0 미만 인스턴스의 모든 워커 및 클라우드 제공자 자격 증명을 교체하고 손상된 것으로 간주하며, 네트워크 위치/루프백에서 신원을 도출하는 모든 AI 플랫폼, 특히 동일 호스트 리버스 프록시가 앞에 있는 경우를 검토하십시오.