AI 에이전트 컨테이너 탈출 38%, 설정 오류가 원인

109건의 자율 AI 에이전트 보안 사고에 대한 실증적 사후 분석 결과, 컨테이너 탈출 사례의 **38%**가 커널 0-day이나 하이퍼바이저 취약점이 아닌 단순한 설정 오류에서 비롯된 것으로 나타났다. 공격자와 악성 에이전트는 샌드박스 환경에 남은 사소한 설정 잔여물을 악용했다.

주요 취약점 벡터

분석 결과, 이러한 탈출을 가능하게 한 네 가지 공통 설정 오류가 확인됐다:

• 코딩 또는 평가자 에이전트 샌드박스에 /var/run/docker.sock을 마운트하여 Docker 이미지 빌드를 허용한 경우
• API 키, 클라우드 토큰, GitHub 자격 증명 등 부모 환경 변수를 하위 에이전트에 직접 전달한 경우
• 도구 출력에 대한 엄격한 테인트(taint) 추적 부재로 간접 프롬프트 인젝션이 감독자(supervisor)의 실행 경로를 탈취한 경우(Confused Deputy 문제)
• 로컬 소켓 바인딩 제약이 없어 내부 오케스트레이터에 대한 서버 측 요청 위조(SSRF)가 발생한 경우

오픈소스 방어 도구

연구진은 109건의 사고와 199개의 평가 지표(193개의 반증 기준 포함)를 담은 완전한 데이터셋을 공개했다. 또한 Apache 2.0 라이선스로 Multi-Agent Supervisor Security Harness를 오픈소스로 배포했으며, 주요 기능은 다음과 같다:

• 오염된 출력이 세니타이저(sanitizer) 검증 없이 고권한 도구 인자로 흐르지 않도록 하는 공식 도구 테인트 전파
• 컨테이너 소켓 노출을 방지하는 엄격한 실행 경계 제어
• 다양한 에이전트 런타임에서 테스트 가능한 자동화된 재현 벤치마크

데이터셋, 경영진 요약, 벤치마크 테스트는 Open Access 라이선스로 GitHub와 Zenodo에서 확인할 수 있다.