AI 시대의 취약점 공개 러시 ‘Black October’ 정리
[AINews] Black October
AI뉴스는 2026년 10월 21~22일 소식으로, 약 48시간 동안 중대한 취약점 공개와 침해가 겹친 ‘Black October’를 다뤘다. PHP2Shell, GitLab의 CVSS 10, LiteLLM 1.107.0의 비밀번호 탈취 등이 나열된다. 아울러 MiniMax M3.1 Flash 등 모델 공개, 벤치마크, Claude Duet 발표도 수록했다.
중심은 짧은 기간에 집중된 취약점과 침해의 목록이다. PHP2Shell은 인증이 필요 없는 RCE이고, GitLab은 CVSS 10 결함으로 19.5.1에서 수정됐다. Node.js Brotli 디코더 RCE 수정, LiteLLM 1.107.0에 비밀번호 탈취 코드가 섞인 사건, Zeabur에서 321,810개 계정이 침해된 사건도 언급된다. eMudhra의 CA 키는 매우 취약했으며, 연구자들은 Claude가 프롬프트 한 번으로 이를 해독했다고 밝혔다.
공격 측의 AI 활용도 보고됐다. Microsoft는 ConnectWise의 공급망 침해를 중국계 Storm-0940의 소행으로 보고 있으며, 에이전트형 펜테스트 프레임워크 ARTEX가 2,250개 이상의 Microsoft 365 테넌트에 쓰였다고 밝혔다. CrowdStrike도 AI 에이전트를 사용하는 공격자 4곳을 기록했다. 한편 PHP 취약점 발견 경위에는 이견이 있으며, ‘공격 우위’라는 시각을 허위 정보라고 비판하는 목소리도 있다.
방어 측면에서는 Anthropic Frontier Red Team이 Theorem Labs와 협력해 Claude로 100개 이상의 OSS 라이브러리의 보안 속성을 증명했다고 전해진다. Cognition은 취약점 수정 에이전트 플러그인을 오픈소스로 공개했다. Anthropic의 부CISO는 상황이 나아지기 전에 더 나빠질 것이며, 방어 측은 약 18개월을 버텨야 한다는 전망을 내놨다.
같은 호에는 METR과 Redwood가 수행한 OpenAI 내부 감시 평가, MiniMax M3.1 Flash, Carbon-X, AA Coding Agent Index v2.0, Agent Skills의 AAIF 기증도 포함된다. Reddit에서는 Anthropic의 Claude Duet, Kitten-TTS 2, Recursive Flint 등이 화제가 되고 있다.
출처: Latent Space · latent.space