무슨 일이 있었나
CVE-2026-126758: .kimi-code/local.toml 구성 요소가 보안 결정에서 신뢰할 수 없는 additional_dir 인수에 의존하므로, 저장소 제공 구성이 AI 코딩 에이전트의 작업 디렉터리 처리에 영향을 미칠 수 있습니다.
왜 중요한가
AI 코딩 에이전트는 저장소 로컬 구성을 신뢰합니다. 악의적 저장소는 에이전트가 작업 공간 내로 처리하는 경로를 조종하여 예상 디렉터리 밖에서 작업(데이터 접근/덮어쓰기)을 가능하게 할 수 있습니다.
공격 경로
WorkspaceDirsService는 저장소 로컬 .kimi-code/local.toml 구성에서 additional_dir을 읽고 이를 보안 결정(작업 공간 포함)에 사용하므로, 조작된 저장소 구성이 어떤 디렉터리가 작업 공간으로 처리되는지에 영향을 미칠 수 있습니다.
영향받는 시스템
MoonshotAI kimi-code <= 2.0.2 (.kimi-code/local.toml)
완화 방안
kimi-code 2.1.0+로 업그레이드하세요. 저장소 제공 local.toml을 검증하고 신뢰할 수 없는 것으로 취급하며, 작업 공간 허용 목록을 적용하세요.