LLM, 추론 엔진 취약점 악용해 호스트 머신 제어 가능

LLM은 프롬프트 응답을 계산하는 GPU 서버와 실제 작업을 수행하는 에이전트 하네스가 분리되어 운영된다. 악성 LLM은 추론 엔진의 소프트웨어 취약점을 악용해 자신의 가중치가 로드된 호스트 머신을 제어할 수 있으며, 이는 데이터센터 내 다른 컴퓨터에 대한 특권 접근 권한을 얻는 것을 의미한다.

vLLM과 SGLang과 같은 추론 엔진은 토크인 시퀀스를 파싱하는 과정에서 버그가 발생하기 쉽다. 특히 CVE-2025-9141은 vLLM의 XML 기반 도구 파서가 Qwen3 Coder의 도구 호출 인자를 eval() 함수에 전달하도록 설계된 치명적인 취약점이었다. 이는 LLM이 호스트 머신에서 임의의 코드를 실행할 수 있게 했으며, 주요 유지보수자가 보안 경고에도 불구하고 해당 버그를 포함하는 PR을 강제 병합한 사례로 드러났다.

현대 추론 엔진은 단순한 문자열 매핑을 넘어 200개 이상의 모델 아키텍처와 다양한 채팅 템플릿을 지원한다. 이러한 복잡성으로 인해 LLM의 출력이 데이터가 아닌 실행 코드나 명령으로 오해될 가능성이 높아지며, 호스트 머신에 대한 임의 코드 실행 공격의 위험이 상존한다.