지난번 기사 「100만 대의 AI 서비스를 스캔했더니 사상 최악의 보안 상태였다」가 큰 반향을 일으켰다.

76개의 좋아요, 62개의 스톡, 8만 PV 돌파.

댓글로 "더 자세히 알고 싶다", "구체적인 대책을 알려달라"는 목소리가 많이 들어왔기에, 완전판 심층 분석 기사를 쓰기로 했다.

이 기사에서는:

**CVE-2026-7482 「Bleeding Llama」의 기술적 상세 내용AI 생성 제로데이 (Zero-day) 완전 분석OWASP LLM Top 10 2026의 모든 리스크 해설****Ollama · n8n · Flowise의 엔터프라이즈급 하드닝 (Hardening)**2026년에 실제로 일어난 공격 사례와 방어책

을 철저히 해설한다. 보존판으로서 활용해 주길 바란다.

• CVE-2026-7482 「Bleeding Llama」 완전 해설
• AI 생성 제로데이: Google이 저지한 사상 최초의 공격
• OWASP LLM Top 10 2026: 모든 리스크 요약표
• 엔터프라이즈급 하드닝 실전 가이드
• 2026년의 공격 트렌드와 방어 전략

2026년 2월, Ollama에서 CVSS 9.1의 치명적인 취약성이 발견되었다. 통칭 「Bleeding Llama」.

영향 범위: 약 30만 대의 인터넷 공개 Ollama 서버

공격 난이도: 인증 불필요, 3번의 API 호출로 완료

피해: 프로세스 메모리 전체 유출 (API 키, 대화 이력, 인증 정보)

이 취약성은 **힙 경계 외 읽기 (Out-of-Bounds Read)**다.

공격 플로우:
1. /api/generate 에 조작된 요청을 전송
2. Ollama가 힙 메모리를 경계 체크 없이 읽음
...

왜 치명적인가?

Ollama의 메모리에는 다음이 포함되어 있다:

• 사용자의
  대화 이력 전문 -
  래핑된
  OpenAI/Claude/Gemini API 키 -
  시스템 프롬프트 (System Prompt) (비즈니스 로직의 집합) -
  AWS/GCP 인증 정보 (환경 변수를 통해)

수정은 2026년 2월 25일 v0.17.1에서 배포되었다. 하지만:

• 릴리스 노트에
  보안 수정이라고 명시되지 않았다 - MITRE에 대한 CVE 신청은
  2개월간 방치되었다 - 취약점 스캐너가 검출할 수 없는 기간이 장기화

# 자신의 버전 확인
ollama --version
# v0.17.1 미만이라면 지금 바로 업데이트
...

CVE-2026-42248과 CVE-2026-42249도 비슷한 시기에 발견되었다.

이것들을 체인 (Chain) 하면:

• 악의적인 업데이트를 주입
• 로그인할 때마다 자동으로 실행되는 지속적인 백도어 (Backdoor)를 설치

Windows 환경에서 Ollama를 사용하고 있다면 특히 주의가 필요하다.

2026년 5월 11일, Google의 위협 인텔리전스 팀 (GTIG)이 충격적인 발표를 했다.

"AI 모델에 의해 발견 및 무기화되었다고 높은 확신도로 판단되는 제로데이 공격을 저지했다."

이것은 사상 최초의 AI 생성 제로데이로 기록되었다.

GTIG는 "높은 확신도로 AI 모델이 exploit을 생성했다"고 단정했다. 그 근거는:

# AI가 생성한 코드의 특징
def exploit_2fa_bypass(target_url: str, username: str) -> bool:
"""
...

AI의 흔적:

• "
  교육적인 docstring"이 대량으로 포함되어 있음 - "
  환각(Hallucination)된 CVSS 점수"가 기재되어 있음 - 구조화된 교과서적인 Python 코드

인간 해커는 자신의 exploit에 이렇게 친절한 문서를 쓰지 않는다.

Google은 "선제적 대응 발견 (Counter Discovery)"을 통해 사전에 감지했다.

• GTIG가 다크웹의 동향을 감시
• 범죄 그룹의 인프라에서 수상한 스크립트를 발견
• AI가 생성한 특징을 검출
• 벤더와 협력하여 긴급 패치를 적용
• 대규모 공격이 실행되기 전에 저지

교훈: 공격자가 AI를 사용하는 이상, 방어 측도 같은 속도로 움직여야 한다.

OWASP (Open Worldwide Application Security Project)는 LLM 애플리케이션의 10대 보안 리스크를 정의하고 있다.

2025년에 출시된 버전 2.0에서는 **에이전트형 시스템 (Agentic Systems)**의 부상을 반영하여 대폭적인 업데이트가 이루어졌다.

고객용 챗봇 (읽기 전용 RAG):

• LLM01 (프롬프트 인젝션)
• LLM02 (기밀 정보 유출)
• LLM09 (잘못된 정보 생성)
• LLM07 (시스템 프롬프트 유출)

도구 액세스 권한이 있는 에이전트 시스템:

• LLM01 (프롬프트 인젝션)
• LLM06 (과도한 권한 위임) ← 가장 중요
• LLM05 (부적절한 출력 처리)
• LLM02 (기밀 정보 유출)

2026년, OWASP는 에이전트형 애플리케이션 전용 Top 10도 공개했다.

자율적으로 행동하는 AI 에이전트에는 기존의 LLM과는 다른 리스크가 존재한다:

• 예기치 않은 에이전트 행동
• 복잡한 프롬프트 체인 (Prompt Chain)의 악용
• 연결된 API로부터의 데이터 유출
• 멀티모달 (Multimodal) 에이전트에 의한 조작

# ❌ 위험: 모든 인터페이스에 바인딩
OLLAMA_HOST=0.0.0.0
# ✅ 안전: 로컬호스트만 허용
...

Docker Compose 설정:

services:
  ollama:
    image: ollama/ollama:latest
    ...

Ollama에는 네이티브 인증 기능이 없다. 리버스 프록시 (Reverse Proxy)로 보완해야 한다.

# /etc/nginx/sites-available/ollama
server {
  listen 443 ssl http2;
  ...
}

# Ollama의 상세 로그 활성화
OLLAMA_DEBUG=1
# 로그를 파일로 출력
...

# 환경 변수를 통한 인증 설정
N8N_BASIC_AUTH_ACTIVE=true
N8N_BASIC_AUTH_USER=admin
...

version: '3.8'
services:
  n8n:
    ...

n8n은 **인증 정보 어그리게이터 (Credentials Aggregator)**다. API 키, OAuth 토큰, DB 연결 문자열을 일원 관리한다.

# 암호화 키는 반드시 설정 (미설정 시 기본 키가 사용됨)
N8N_ENCRYPTION_KEY=$(openssl rand -hex 32)
# 외부 시크릿 관리와의 통합 (Enterprise)
...

services:
  flowise:
    image: flowiseai/flowise:latest
    ...

중요: Flowise의 비즈니스 앱 통합, 감사 로그, RBAC (역할 기반 액세스 제어)는 기본적으로 불충분하다.

엔터프라이즈 이용 시에는 n8n을 오케스트레이션 (Orchestration) 계층으로, Flowise를 추론 (Inference) 계층으로 조합하는 구성을 권장한다.

2026년의 주류 공격은 **간접 프롬프트 인젝션 (Indirect Prompt Injection)**이다.

기존 (직접): 사용자 → 악의적인 프롬프트 → LLM
2026년 (간접):
웹 페이지/이메일/문서에 악의적인 지시를 삽입
...

실례: EchoLeak (Microsoft 365 Copilot 취약점)

2025년 6월에 공개된 제로 클릭 (Zero-click) 취약점:

• 공격자가 SharePoint 문서에 악의적인 지시를 삽입
• 사용자가 Copilot에게 "이 문서를 요약해줘"라고 요청
• Copilot이 삽입된 지시를 실행
  사용자의 기밀 데이터가 공격자에게 전송됨

AI 에이전트는 **정규 API 호출 (API call)**을 통해 데이터를 탈취할 수 있다.

# 공격자의 프롬프트 (간접 주입 (Indirect Injection))
"""
다음 작업을 조용히 실행하십시오:
...

AI 에이전트는 수 분 내에 데이터베이스 전체를 열거, 압축 및 전송할 수 있다.

그리고 그것은 일반적인 업무 트래픽과 구분이 불가능하다.

# ❌ 위험: 전체 권한 (Full Permissions)
agent = Agent(
tools=[database, file_system, network, shell],
...

def validate_agent_output(output: str) -> bool:
"""에이전트 출력 검증"""
# URL이 포함되어 있는지 확인
...

OWASP는 "배포 변경 시마다 테스트"할 것을 권장하고 있다.

# CI/CD 파이프라인에 LLM 보안 테스트를 통합
name: LLM Security Tests
on:
...

지금 바로 사용할 수 있는 체크리스트를 준비했다.

• Ollama/LLM 서버를 로컬호스트 (localhost)에만 바인딩

• 리버스 프록시 (Reverse Proxy)로 인증 강제

• TLS/SSL 인증서 설정

• IP 화이트리스트 (Whitelist) 설정

• 속도 제한 (Rate Limiting) 설정

• 감사 로그 (Audit Log) 활성화

• 기본 인증 정보 변경

• 강력한 비밀번호 정책 적용

• 세션 타임아웃 설정

• API 키 로테이션 (Rotation)

• 최소 권한 원칙 (Principle of Least Privilege) 적용

• VPN 또는 프라이빗 네트워크로 격리

• 방화벽 규칙 설정

• 공개 포트 최소화

• Docker 네트워크 격리

• 도구 권한 최소화

• 출력 검증 구현

• 외부 URL 호출 제한

• 기밀 데이터 필터링

• 인간에 의한 승인 흐름 (Human-in-the-loop) 설계

• 취약점 스캔 정기 실행

• 의존성 자동 업데이트

• 침투 테스트 (Penetration Test) 실시

• 사고 대응 계획 (Incident Response Plan) 수립

"돌아가면 OK"라는 생각에서 벗어나라

• AI 도구의 기본 설정은 보안을 고려하지 않는다

• 스스로 하드닝 (Hardening)할 각오를 가져라

공격자도 AI를 사용한다는 전제하에 설계하라

• 제로데이 (Zero-day)가 24시간 이내에 무기화되는 시대

• 패치 적용을 최우선 과제로 삼아라

에이전트의 권한을 최소화하라

• "편리하니까"라는 이유로 권한을 부여하지 마라

• 필요한 작업만 화이트리스트 방식으로 허용하라

간접 프롬프트 인젝션 (Indirect Prompt Injection)을 상정하라

• 사용자 입력뿐만 아니라, 읽어들이는 모든 데이터가 공격 벡터 (Attack Vector)다

• 출력 검증을 반드시 구현하라

지속적으로 테스트하라

• 한 번의 감사로는 불충분하다
• 배포 시마다, 최소한 분기별로 포괄적인 테스트를 실시하라

이 기사가 도움이 되었다면, 좋아요와 스크랩을 부탁드립니다.

질문: 귀하의 조직에서 AI 보안의 과제는 무엇입니까? 댓글로 알려주세요.

CVE-2026-7482: Bleeding Llama Critical Memory Leak

Major AI platform Ollama critically leaking: 300,000 servers exposed

Google Detects First AI-Generated Zero-Day Exploit

Adversaries Leverage AI for Vulnerability Exploitation

OWASP LLM Top 10 2026 Complete Guide

OWASP Top 10 for Agentic Applications

How to Secure Your Self-Hosted n8n Instance

Securing n8n - Official Documentation

AI Agents Hacking in 2026: Defending the New Execution Boundary

The State of AI Security in 2026