요약:
New York Times에 따르면 AI는 전례 없는 속도로 소프트웨어 보안 취약점을 발견하고 있으며, 이를 해결하는 엔지니어들이 따라잡기가 점점 더 어려워지고 있습니다. 기술 기업과 오픈 소스 소프트웨어 유지관리자는 해커가 광범위한 웹사이트와 온라인 서비스를 지원하는 소프트웨어를 보호하기 위해 취약점을 악용하기 전에 취약점을 패치하기 위해 서두르고 있습니다.
OpenAI 네트워크 보안 준비 및 보안 작업을 담당하는 Fouad Matin은 원래 10월 21일 저녁에 친구들과 생일을 축하할 계획이었습니다.
그러나 그날 그는 2시간 정도만 잠을 자고 AI가 발견한 심각한 보안 취약점 2개를 복구하기 위해 조율하느라 바빴습니다. 이러한 취약점이 악용되면 광범위한 인터넷 서비스에 영향을 미칠 수 있습니다. 처리에 참여하는 사람들로는 스타트업 및 거대 기술 기업의 보안 연구원은 물론 미국 및 기타 국가의 정부 공무원도 포함됩니다.
그의 할 일 목록에는 AI가 발견하여 수정을 기다리는 허점이 더 많습니다.
Mateen은 OpenAI가 네트워크 보안을 담당할 여러 팀을 배치했으며 문제를 찾아 해결하기 위해 많은 컴퓨팅 성능을 투자했다고 말했습니다. 그는 AI 기업이 전 세계 소프트웨어를 최대한 스캔하고 패치한다는 궁극적인 목표를 가지고 이 기술로 인해 드러난 위험을 해결할 책임이 있다고 믿습니다.
취약점 발견 속도가 크게 증가하여 취약점을 수정하는 사람들에게 전례 없는 압박이 가해지고 있습니다.
OpenAI에 따르면 이 회사는 올해 5월부터 자체 기술을 사용하여 오픈소스 소프트웨어를 스캔하기 시작했습니다. 이후 내부 및 외부 연구자들은 해당 모델을 사용해 1,300개 이상의 취약점을 발견했습니다. 이러한 유형의 소프트웨어는 무료로 사용할 수 있고 다양한 네트워크 서비스에 널리 배포되며 인터넷의 다양한 기능을 지원합니다.
Google은 또한 올해 6월에 AI를 사용하여 Chrome 브라우저에서 1,072개의 취약점을 발견하고 수정했습니다. 이는 지난 2년 동안 수정된 총 개수를 초과한 것입니다. 올해 초부터 Chrome은 지난 8년 동안의 취약점을 합친 것보다 더 심각한 취약점을 수정했습니다.
Microsoft는 올해 10월에만 1,461개의 패치를 출시했는데, 이는 2025년 전체 패치 1,247개를 초과합니다.
일부 소프트웨어 유지관리자의 눈에는 이러한 강도 높은 작업이 이제 막 시작되었을 수도 있습니다.
Matteo Collina는 스타트업 Platformmatic의 최고 기술 책임자이며 오픈 소스 개발 도구인 Node.js의 유지 관리에 참여하고 있습니다. Uber 및 Netflix와 같은 기술 회사가 이 도구를 사용하고 있습니다.
"지금 일어나고 있는 일은 단지 시작일 뿐이며 상황은 10배는 더 악화될 것입니다." 콜리나가 말했다.
Node.js를 지원하는 비영리 조직인 OpenJS Foundation에 따르면 Node.js는 올해 역사상 어느 해보다 많은 50개의 보안 취약점을 식별하고 수정했습니다. 올해 2월, 이 프로젝트는 평소보다 4.6배 많은 취약점 보고를 받았습니다.
이번 달 OpenAI는 Colina에게 다시 연락하여 새로 발견된 취약점에 대해 경고했습니다. 잠재적인 공격자는 이를 사용하여 인터넷의 시스템에 침입하고 데이터를 훔칠 수 있습니다.
증가하는 보고서를 처리하기 위해 Colina는 이제 일주일 내내 일하고 밤에는 AI 에이전트가 계속해서 작업을 처리하도록 합니다.
"이 직업이 미래에 어떻게 될지는 아무도 모릅니다." 그는 말했다.
과거에는 소프트웨어 취약점을 찾는 것이 개인적인 경험에 크게 의존하는 작업이었습니다. 기술 회사는 보안 연구원을 고용하여 코드를 검토하고 화이트 해커에게 비용을 지불하여 "버그 현상금" 프로그램을 통해 문제를 찾아 보고합니다.
AI가 이 작업의 속도와 가치를 변화시키고 있습니다.
계속 검색하여 인간 연구원이 포기했을 수 있는 부분을 찾아낼 수 있습니다. 또한 다양한 코드에 흩어져 있는 작은 결함을 검사하여 위험한 공격으로 결합할 수도 있습니다.
PHP 재단의 보안 엔지니어인 Volker Dusch는 이를 분명히 느낍니다. 프로그래밍 언어 PHP를 유지 관리하는 재단은 지난 주 AI가 발견한 심각한 취약점을 공개했습니다.
Dusch는 2년 전에는 보안 취약점을 발견하는 것이 큰 일이었다고 말했습니다. 이제 그것이 가져오는 동료의 인지도는 줄어들고 있으며 전체 업계에서 이 작업을 평가하는 방식이 바뀌고 있습니다.
그러나 취약성 보고가 증가하면 상당한 추가 부담도 따릅니다.
지난해 말부터 오픈소스 소프트웨어 유지관리 담당자들은 신고 건수가 크게 증가한 것을 확인했습니다. 그 중 일부는 심각한 위협을 드러내고, 일부는 혼란스럽고 테스트되지 않은 낮은 품질의 AI 생성 보고서입니다.
올해 1월 말, 오픈소스 프로젝트 컬은 쇄도하는 신고에 대처하지 못해 버그 바운티 지급을 중단하겠다고 발표했습니다.
동시에 AI의 공격 능력도 수비진을 점점 더 불안하게 만든다.
올해 4월 Anthropic은 자사가 개발한 Mythos 모델이 강력한 해킹 능력을 갖고 있어 대중에게 안전하게 공개할 수 없다고 밝혔습니다. 그런 다음 회사는 신뢰할 수 있는 기업 및 정부 기관 그룹이 Project Glasswing이라는 프로그램을 통해 시스템을 검사하고 패치할 수 있도록 모델을 제공했습니다. OpenAI와 Google은 방어자에게 사이버 보안에 초점을 맞춘 AI 모델도 제공합니다.
그러나 취약점을 찾아 악용할 수 있는 모델이 점점 더 많이 사용되고 있습니다.
AI 평가업체 발스AI(Vals AI)는 최근 모델이 가상의 기업을 침공하도록 요구하는 시뮬레이션 공격 과제를 설정했다. 테스트 결과, 승인된 방어자에게만 공개되는 OpenAI의 고급 모델이 테스트 목표의 81%를 완료한 것으로 나타났습니다. 그 뒤를 이어 중국 회사 DeepSeek의 무료 모델이 73%의 완료율을 기록했습니다.
이러한 기능이 확산됨에 따라 실리콘 밸리의 보안 팀은 조사 속도를 높이고 있습니다. 그들은 공격자가 동일한 취약점을 곧 발견할 수 있다고 우려합니다.
PHP 복구 프로세스는 이러한 압력이 정확히 누구에게 있는지 보여줍니다.
올해 7월, 사이버 보안 회사인 Calif의 연구원들은 AI 에이전트가 PHP를 검사하도록 허용하기 시작했습니다. 보고서에 따르면 웹사이트의 약 70%가 이 프로그래밍 언어를 사용합니다. 한 연구팀은 10년 넘게 코드에 숨겨져 있던 취약점으로 인해 공격자가 영향을 받는 웹 사이트에서 악성 코드를 실행할 수 있다는 사실을 발견했습니다.
Calif는 비슷한 취약점을 발견한 Dusch와 Google 소유 보안 회사인 Wiz의 연구원들에게 연락했습니다. OpenAI 및 PHP Foundation의 엔지니어도 참여합니다.
팀은 몇 주 동안 기밀 Slack 채널에서 협업하면서 매일 전화로 수정 사항을 조정했습니다. Calif의 CEO인 Thai Duong은 이번 수정에는 약 200개의 파일이 포함되어 있으며 대규모 패치 업데이트라고 말했습니다.
패치를 준비하면서 정부 기관과 인터넷 인프라 기업인 클라우드플레어(Cloudflare), 기타 기관에도 통보해 수리 범위를 최대한 확대하길 희망했다.
취약점이 발견되었으나 광범위하게 복구되지 않은 기간은 참가자들에게 가장 스트레스를 주는 단계가 되었습니다.
Cloudflare CEO 매튜 프린스(Matthew Prince)는 지난 두 달 동안 누군가가 취약점을 조기에 발견하거나 패치가 준비되기 전에 정보가 유출될 것이라는 극도의 두려움 속에서 보냈다고 말했습니다.
그는 향후 2년 동안 평균적으로 전체 인터넷에 영향을 미치는 심각한 취약점이 매주 나타날 것이라고 예측합니다.
보안업계에서는 향후 상황에 대해 서로 다른 판단을 내놓고 있다.
인류부 최고정보보안책임자(CIO) 제이슨 클린턴은 10월 22일 소셜미디어를 통해 지난 4일 동안 상황이 나빴지만 앞으로는 나아지기 전에 더 나빠질 것이라고 말했다.
Prince는 이러한 오랜 문제를 밝혀내는 것이 궁극적으로 인터넷을 더욱 안전하게 만들 것이라고 믿습니다. 그는 향후 2년이 매우 좋지 않을 것이라고 예측하지만 이번 수리가 완료되면 사람들은 훨씬 더 안전한 인터넷을 기대할 수 있습니다.
댓글