보안 업체 카토 네트웍스(Cato Networks)가 AI 코드 에디터 커서(Cursor)에서 샌드박스(격리 상자)를 탈출하는 최고 심각도 취약점 2건(CVE-2026-50548·50549, CVSS 9.8)을 공개했어요. 문서나 코드에 숨겨둔 악성 지시(프롬프트 주입)를 에이전트가 읽는 것만으로 작업 폴더 밖에 파일을 쓸 수 있고, 격리를 담당하는 실행 파일을 덮어써 개발자 PC에서 임의 코드 실행(RCE)까지 이어질 수 있어요. 커서는 3.0 버전에서 이미 고쳤고 실제 악용 정황은 없지만, 한 분석가는 앱이 스스로를 검사하는 샌드박스는 논리로 우회당할 수 있으니 커널이 직접 막는 격리가 필요하다고 주장했어요.
용어 풀이
- 샌드박스(sandbox)
- 프로그램이 건드릴 수 있는 파일·자원 범위를 좁게 가둬 격리하는 상자
- 커널(kernel)
- 운영체제의 핵심층으로, 모든 프로그램의 파일·메모리·하드웨어 접근을 최종 통제하는 부분
- 프롬프트 주입(prompt injection)
- 문서·코드 등에 몰래 심은 지시를 AI가 사용자 명령으로 착각해 따르게 만드는 공격
- RCE(원격 코드 실행)
- 공격자가 원격에서 남의 컴퓨터에 원하는 코드를 실행시키는 것
- CVSS
- 취약점 심각도를 0~10점으로 매기는 국제 표준 점수(9점대는 최고 등급)
- 심링크(symlink)
- 실제 파일을 가리키는 바로가기 같은 링크 파일
- 랜드락(Landlock)
- 리눅스 커널이 프로그램의 파일 접근 권한을 직접 제한하는 보안 기능
운영자 인사이트
에이전트가 터미널 명령을 자동 실행하는 순간, 외부 문서·코드에 숨은 프롬프트 주입이 곧 원격 코드 실행 통로가 돼요. 앱이 스스로 경로를 검사하는 샌드박스는 우회 여지가 남으니, 커서를 3.0 이상으로 올리고 신뢰할 수 없는 저장소나 에이전트 작업은 컨테이너·랜드락·VM 같은 커널 수준 격리로 한 겹 더 감싸는 게 안전해요. 벤더가 처음엔 MCP 오용은 위협 모델 밖이라며 제보를 반려했다는 점도, 에이전트 도구 오용까지 위협 모델에 넣어야 한다는 교훈이에요.
여러 관점으로 보기
- 원 취약점 연구(발견 주체) 카토 네트웍스가 듄슬라이드(DuneSlide) 취약점 2건의 재현 원리와 제보 타임라인, 원격 코드 실행으로 이어지는 경로를 상세 공개했어요. Cato Networks
- 공식 CVE 기록 CVE-2026-50549는 심링크와 경로 정규화 실패로 작업 폴더 밖에 파일 쓰기가 가능하며 9.8(심각)로 평가됐고, 3.0에서 고쳤어요. CVEFeed (NVD 연계)