CISA, 연방기관에 Ray RCE 버그 수정까지 3일 부여

(theregister.com)

미국 CISA가 파이썬 및 머신러닝 워크로드 확장에 쓰이는 오픈소스 프레임워크인 Ray의 치명적인 원격 코드 실행(RCE) 취약점에 대해 연방기관에 3일 내 패치를 명령하며, 개발자 환경을 통한 기업 내부 네트워크 침투 위험을 경고했습니다.

이 글의 핵심 포인트

1CVE-2025-62593 취약점은 CVSS v4 기준 9.4의 매우 높은 위험도를 기록함
2공격자는 Firefox나 Safari 브라우저를 이용해 Ray 시스템에서 원격 코드 실행(RCE) 가능
3CISA는 미 연방기관에 표준 14일이 아닌 3일 이내의 긴급 패치를 명령함
4Ray는 Amazon, Apple, OpenAI 등 주요 테크 기업들이 사용하는 핵심 프레임워크임
5Ray 2.52.0 버전에서 취약점이 해결되었으며 토큰 기반 인증 기능이 도입됨

이 글에 대한 공공지능 분석

왜 중요한가?

CVSS 9.4의 초고위험 취약점으로, 단순 브라우징만으로도 개발자 환경과 기업 내부망이 동시에 노출될 수 있기 때문입니다. 특히 CISA가 표준 패치 기간인 14일이 아닌 3일이라는 극도로 짧은 기한을 부여했다는 점은 이미 실제 공격에 활용되고 있음을 시사합니다.

어떤 배경과 맥락이 있나?

Ray는 AI 및 머신러닝 워크로드를 확장하는 핵심 프레임워크로, OpenAI와 Apple 등 글로벌 빅테크가 사용 중입니다. 그동안 보안 모델이 '격리된 네트워크 환경'을 전제로 인증 절차를 생략해 왔던 것이 이번 공격의 근본적인 취약점이 되었습니다.

업계에 어떤 영향을 주나?

AI 인프라를 구축하는 스타트업들에게는 개발 환경의 보안 설정이 단순한 운영 이슈를 넘어 기업 전체의 데이터 유출로 이어질 수 있음을 보여줍니다. 오픈소스 라이브러리의 의존성 관리가 보안의 핵심 요소로 부상하고 있습니다.

한국 시장에 어떤 시사점이 있나?

AI 모델 학습을 위해 Ray와 같은 분산 컴퓨팅 프레임워크를 도입하는 국내 AI 스타트업들은 개발용 클러스터와 운영용 클러스터를 엄격히 분리해야 합니다. 또한, 기본적으로 비활성화된 토큰 기반 인증 기능을 활성화하는 등 '제로 트러스트' 관점의 접근이 필수적입니다.

이 글에 대한 큐레이터 의견

이번 사건은 AI 인프라의 급격한 팽창 속에서 보안 아키텍처가 기술 발전 속도를 따라가지 못할 때 발생하는 전형적인 리스크를 보여줍니다. 개발 편의성을 위해 인증을 생략하고 네트워크 격리에만 의도적으로 의존했던 Ray의 설계 방식은, 클라우드와 원격 작업이 일상화된 현대 개발 환경에서는 매우 위험한 '안일한 가정'이었습니다.

스타트업 창업자들은 오픈소스 도입 시 성능과 확장성뿐만 아니라, 해당 프레임워크가 가진 보안 모델의 한계를 반드시 검토해야 합니다. 물론 모든 엔드포인트에 인증을 도입하는 것은 운영 복잡성을 높이고 개발 속도를 늦추는 트레이드오프를 발생시킵니다. 하지만 이번 사례처럼 '격리된 네트워크'라는 가정이 깨지는 순간, 단 한 번의 피싱 메일이 기업 전체의 자산인 AI 모델과 데이터를 무너뜨릴 수 있음을 명심해야 합니다. 따라서 보안을 비용이나 장애물이 아닌, 지속 가능한 성장을 위한 필수 인프라로 인식하는 전략적 판단이 필요합니다.

원문 보기 →