AWS Bedrock AgentCore Starter Toolkit 보안 이슈: CVE-2026-105812·CVE-2026-106032 영향 버전 점검
AWS 유지관리 오픈소스 Python 패키지인 bedrock-agentcore-starter-toolkit에서 두 건의 보안 이슈가 공개됐다. 하나는 특수하게 조작된 에이전트 반입 후 실행 또는 배포 단계에서 임의 코드 실행으로 이어질 수 있는 문제이고, 다른 하나는 에이전트 가져오기 과정에서 의도하지 않은 네트워크 요청이나 로컬 파일 접근을 유발할 수 있는 외부 참조 처리 문제다. 로컬 개발 환경이나 내부 검증 서버에서 해당 툴킷으로 Amazon Bedrock Agents를 가져오는 조직이라면, 사용 중인 버전과 자동화 파이프라인 내 반입 경로를 함께 확인하는 것이 중요하다.
공개된 두 취약점의 의미
CVE-2026-105812는 가져온 에이전트가 이후 실행되거나 배포되는 흐름에서 임의 코드 실행으로 연결될 수 있는 코드 인젝션 문제로 설명됐다. 단순 조회가 아니라 가져오기 뒤 이어지는 실행 단계까지 영향 설명에 포함돼 있어, 개발자 워크스테이션과 CI 환경 모두 점검 대상이 될 수 있다.
CVE-2026-106032는 에이전트 가져오기 중 외부 참조를 처리하는 방식 때문에 의도하지 않은 네트워크 요청 또는 로컬 파일 접근이 발생할 수 있는 문제다. 내부망에서 반입 작업을 수행하는 경우에도 외부 통신 우회 여부, 파일 접근 범위, 테스트용 자격증명 노출 가능성을 함께 살펴볼 필요가 있다.
영향 받는 버전과 우선 확인 항목
AWS가 명시한 영향 범위는 0.1.4 이상 0.3.13 이하이다. 따라서 운영자는 먼저 개발 표준 이미지, 내부 PyPI 미러, CI 빌드 정의, 개인 개발 환경에 이 버전대가 남아 있는지 확인해야 한다.
원문에는 수정 버전이 제시되지 않았으므로, 현재 시점에서는 우선 영향 버전 사용 여부를 식별하고 신규 반입 작업을 통제하는 대응이 현실적이다. 특히 외부 저장소에서 받은 에이전트를 바로 로컬에서 실행하거나 배포 아티팩트로 넘기는 자동화 절차가 있다면 임시 중지 또는 격리가 적절하다.
개발·검증 파이프라인에서 볼 운영 포인트
이 이슈는 AWS 서비스 자체보다 로컬 개발 환경으로 에이전트를 가져오는 오픈소스 툴 체인에 가깝다. 따라서 IDC나 서버호스팅 환경에서는 공개 서비스 장애보다 개발망, 검증 서버, 내부 배포 파이프라인의 신뢰 경계가 핵심 점검 지점이 된다.
일본·국내 리전 사용 여부와 무관하게, 사내에서 Bedrock 관련 실험용 VM이나 컨테이너 이미지를 공용 템플릿으로 배포했다면 해당 이미지 안의 패키지 버전 잔존 여부를 확인해야 한다. 네트워크 측면에서는 가져오기 작업을 수행하는 호스트가 외부로 임의 요청을 내보낼 수 있는지, 로컬 파일 접근이 민감 정보로 이어질 수 있는지 분리 정책을 재점검하는 편이 안전하다.
지금 바로 적용할 수 있는 점검 순서
1) bedrock-agentcore-starter-toolkit 사용 여부와 설치 버전을 확인한다. 2) 0.1.4 이상 0.3.13 이하라면 외부에서 받은 에이전트의 가져오기 작업과 후속 실행·배포를 우선 제한한다. 3) CI 러너, 개발자 PC, 테스트 서버, 표준 컨테이너 이미지, 내부 패키지 미러에 동일 버전이 남아 있는지 확인한다.
4) 에이전트 import 작업 로그에서 예상하지 않은 외부 연결 시도나 로컬 파일 참조 흔적이 있었는지 살핀다. 5) AWS가 안내하는 후속 공지와 최신 정보를 기준으로 업데이트 또는 대체 조치를 반영한다. 원문에는 구체적인 수정 버전이 없으므로, 확인되지 않은 버전 번호를 내부 가이드에 임의로 추가하지 않는 것이 중요하다.
핵심 포인트
- AWS 유지관리 오픈소스 패키지 bedrock-agentcore-starter-toolkit에서 두 건의 취약점이 공개됐다.
- CVE-2026-105812는 조작된 에이전트 import 후 실행·배포 단계에서 임의 코드 실행으로 이어질 수 있다.
- CVE-2026-106032는 import 과정에서 의도하지 않은 네트워크 요청이나 로컬 파일 접근을 유발할 수 있다.
- 영향 버전은 0.1.4 이상 0.3.13 이하로 명시됐다.
- 원문에는 수정 버전이 없으므로 영향 식별, 반입 통제, 파이프라인 격리가 우선이다.