Omnigent는 단일 정책 및 샌드박스 계층 뒤에서 코딩 에이전트를 실행하는 오픈소스 메타 하니스로, 9월 2일 한꺼번에 4건의 보안 권고를 받았습니다. 여기에는 러너 호스트에서의 치명적 인증된 원격 코드 실행 취약점과 추가로 2건의 높은 심각도 결함이 포함됩니다. 이 중 끝까지 읽어볼 가치가 있는 것은 네 건 가운데 가장 낮은 등급입니다.
기권이 곧 허용이 되는 버그
CVE-2026-62676는 두 개의 서로 다른 제어를 뒷받침하는 공유 셸 명령 파서를 설명합니다. 하나는 저장소 및 브랜치 허용 목록이고, 다른 하나는 작업 디렉터리 격리입니다. 게이트된 명령이 파서가 모델링하지 못하는 형식으로 들어오면, 파서는 아무 작업도 내놓지 않고 평가기는 아무것도 반환하지 않으며, 아무것도 기권으로 간주돼 허용으로 귀결됩니다. 권고에는 우회 수법이 나열돼 있습니다. 명령을 bash -lc로 감싸기, timeout이나 nice 같은 래퍼 바이너리를 앞에 붙이기, 또는 명령 치환 내부에 숨기기입니다. 분류는 CWE-184, 불완전한 거부 목록이며, 본래 역할이 “아니오”라고 말하는 구성요소에 자리하고 있습니다.
흔한 설명이 놓치는 점
두 가지입니다. 첫째, 심각도 순위는 운영상의 현실을 거꾸로 보여줍니다. 이 하니스를 차단 계층으로 쓰는 이들에게는 7.1이 9.0보다 더 중대합니다. 기존의 인증된 접근을 필요로 하지 않는 대신, 제품의 핵심 약속인 “신뢰할 수 없는 모델 출력을 실행하되 격리한다”는 약속 자체를 무너뜨리기 때문입니다. 둘째이자 CVE 피드를 훑는 독자에게 더 중요한 점은, 이것들이 새로운 버그가 아니라는 점입니다. 수정 커밋은 6월 26일과 27일에 반영됐고, 패치된 릴리스는 곧바로 뒤따랐습니다. 권고는 9월 2일자입니다. 코드가 수정된 시점과 사용자에게 통보된 시점 사이에는 68일의 간격이 있습니다.
이 간극이 반복해서 말해주는 교훈
CVE 공개 날짜를 통해 AI 도구 위험을 추적하는 사람은 실제 노출 기간보다 몇 주에서 몇 달 늦는 신호를 보고 있는 셈입니다. 이 생태계에서는 릴리스 노트가 보안 피드입니다. 에이전트 하니스 버전을 고정해 사용하는 팀은 권고가 나오기를 기다릴 것이 아니라 저장소 릴리스를 주시해야 합니다.
여기서 도출되는 설계 원칙
권고가 제안하는 수정은 도구 승인 계층을 만드는 이들에게는 체크리스트처럼 읽힙니다. 기권은 거부로 귀결돼야 하고, 래퍼 바이너리는 정규화돼야 하며, 평가기는 판단하기 전에 sh -c와 명령 치환 내부까지 재귀적으로 살펴야 합니다. 올해 자체 제작된 승인 계층들 역시 지금 이와 같은 형태의 버그를 배포하고 있습니다.