OpenAI는 고급 AI를 사용하여 PHP의 심각한 취약점을 발견하고 글로벌 보안 기관과 협력하여 긴급 복구 작업을 시작한다고 발표했습니다.

요약:

OpenAI는 2026년 10월 21일 발표를 통해 PHP 프로그래밍 언어의 두 가지 심각한 보안 취약점을 발견하고 해결하기 위한 조정에 참여했음을 공개했습니다. 이 조치는 OpenAI가 시작한 "패치 더 플래닛(Patch the Planet)"(인터넷 전체 패치) 프로그램에 의해 추진됩니다. 이 프로그램은 소프트웨어 유지 관리 담당자, 보안 연구원, 클라우드 서비스 제공업체 및 정부 네트워크 보안 기관을 통합하여 글로벌 인터넷 인프라의 취약성으로 인한 위험을 공동으로 줄입니다.

이번 사건에서 보안업체인 Calif는 GPT-5.6 Sol을 사용하여 심각한 보안 결함을 발견했으며, 보안업체인 Wiz는 관련 취약점 2개를 독립적으로 발견하여 보고했습니다. PHP 유지 관리 팀은 선도적인 취약성 수정 및 보안 버전 릴리스를 담당하고 OpenAI, Wiz, Cloudflare 및 기타 파트너는 관련 조직이 취약성이 공개되기 전에 보호를 준비할 수 있도록 기술 연구, 엔지니어링 지원 및 조정을 제공합니다.

PHP는 웹사이트와 네트워크 애플리케이션에서 널리 사용되는 오픈소스 프로그래밍 언어입니다. 수많은 인터넷 서비스가 웹 페이지 요청, 데이터베이스 작업 및 백그라운드 비즈니스 로직을 처리하기 위해 이를 사용합니다. 따라서 PHP의 하위 계층에 심각한 취약점이 있으며, 그 영향은 많은 웹사이트, 클라우드 서비스 및 기업 시스템으로 빠르게 확산될 수 있습니다. 이번에 발견된 두 가지 취약점 모두 심각한 수준으로 평가되었으며 공격자가 인증 없이 원격으로 코드를 실행할 수 있습니다. PHP 개발팀은 10월 21일에 수정 버전을 출시했으며 사용자에게 즉시 업그레이드할 것을 촉구합니다.

OpenAI는 이번 사건이 네트워크 보안 분야에서 인공지능의 이중 역할을 강조한다고 밝혔습니다. 한편으로, 고급 모델은 연구자가 성숙한 소프트웨어에 오랫동안 숨겨져 있던 결함을 발견하는 데 도움이 될 수 있습니다. 반면에 공격자는 동일한 기능을 사용하여 악용 도구와 공격 프로그램을 신속하게 개발할 수도 있습니다. 따라서 보안팀은 취약점의 발견 가능 여부에만 집중할 수 없으며, 관련 패치가 배포되기 전에 취약점이 적시에 복구되고 공격 위험을 최대한 줄일 수 있는 효율적인 메커니즘을 구축해야 합니다.

OpenAI는 현재 보유하고 있는 정보에 따르면 공격자가 취약점을 발견하고 악용하기 전에 첨단 인공지능의 도움을 받아 취약점을 발견했다고 밝혔습니다. 이는 소프트웨어 유지관리자에게 귀중한 방어 준비 시간을 벌어줍니다. 회사에서는 이 단계를 "방어자의 창(Defender's Window)"이라고 부릅니다. 이는 방어자가 공격자보다 먼저 문제를 식별하고, 해결 계획을 개발하고, 보호 조치를 배포할 수 있는 시간입니다.

그러나 이 창이 항상 존재하는 것은 아닙니다. 인공지능 모델의 성능이 지속적으로 향상됨에 따라 취약점 발견과 공격 방법 개발 사이의 시간 간격이 점차 단축될 수 있습니다. OpenAI는 사이버 보안 산업이 과거의 상대적으로 분산된 취약성 처리 접근 방식에서 소프트웨어 유지 관리 담당자, 서비스 제공업체, 기업 운영자 및 정부 기관을 신속하게 조정할 수 있는 체계적인 대응 메커니즘으로 전환해야 한다고 믿습니다.

이를 위해 OpenAI는 주로 5단계로 구성된 심각한 취약점에 대한 조정된 대응 프레임워크를 제안했습니다.

먼저, 소프트웨어 유지관리자, 연구원, 핵심 기술 파트너는 함께 협력하여 취약점을 확인하고 범위를 평가하며 수정 사항을 개발 및 테스트해야 합니다. 이 단계에서 팀은 또한 고급 모델을 사용하여 패치가 실제로 공격을 예방할 수 있는지 확인하고 표면적인 문제만 해결하고 다른 악용 가능한 경로를 놓치는 것을 방지하기 위해 가능한 관련 취약성 변형을 찾기 위해 적대적 테스트를 수행해야 합니다.

둘째, 피해를 입은 조직에 충분한 준비 시간이 허용되어야 합니다. 조직마다 보호 작업이 다릅니다. 소프트웨어 게시자는 패치를 이전 버전으로 포팅해야 할 수 있고, 클라우드 호스팅 서비스 제공자는 임시 완화 조치를 확인해야 하며, 네트워크 보안 회사는 탐지 규칙이나 WAF(웹 애플리케이션 방화벽) 보호 전략을 미리 준비해야 할 수 있습니다. OpenAI는 필요한 기술 정보가 각 참여자의 실제 보호 책임을 기반으로 단계적으로 제공되어야 하며, 정보 공유 합의 및 전문적인 조정 메커니즘을 통해 유출 위험을 줄여야 한다고 제안했습니다.

셋째, 중요 인프라 운영자가 적시에 경고와 보호 권장 사항을 받을 수 있도록 하려면 정부 사이버 보안 기관과의 협력이 필요합니다. PHP 취약점 사건에서 OpenAI와 파트너는 백악관 슈퍼 인텔리전스 태스크 포스, 국가 사이버 국장실, CISA(사이버 보안 및 인프라 보안국)를 포함한 여러 미국 정부 부처 및 사이버 보안 기관에 연락하고 국제 파트너와 협력했습니다.

넷째, 수정 계획과 공개 계획이 안정화된 후에는 더 많은 소프트웨어 퍼블리셔, 클라우드 서비스 제공업체, 호스팅 서비스 제공업체, 기업 보안팀이 업데이트를 사전에 준비할 수 있도록 참여 범위를 확대해야 합니다. 여전히 이전 버전의 소프트웨어를 사용하고 있고 최신 패치를 직접 설치할 수 없는 조직의 경우 패치 롤백이나 기타 임시 보호 조치의 타당성을 평가해야 합니다.

다섯째, 패치가 공식적으로 출시된 후 사용자가 자신의 시스템이 영향을 받는지, 어떤 버전을 설치해야 하는지, 복구가 효과적인지 확인하는 방법을 확인할 수 있도록 명확한 복구 지침을 대중에게 제공해야 합니다. 패치가 출시된다고 해서 전체 대응 과정이 바로 끝나지는 않습니다. 또한 보안팀은 배포를 지속적으로 추적하고 아직 업데이트를 완료하지 않은 조직이 실제 문제를 처리할 수 있도록 지원해야 합니다.

OpenAI는 취약점 정보를 사전에 공유하는 데 있어 명백한 딜레마가 있음을 구체적으로 지적했습니다. 한편으로, 클라우드 서비스 제공업체, 네트워크 보안 공급업체 및 중요 인프라 운영자는 보호 조치를 효과적으로 준비하기 위해 충분한 기술 세부 정보가 필요합니다. 반면에 제한된 취약성 정보라도 공격자가 결함의 특정 위치를 유추하는 데 도움이 될 수 있습니다. 따라서 관련 정보는 참가자의 보호 책임, 준비 시간 요구 사항, 민감한 정보 처리 능력에 따라 단계적으로 제공되어야 합니다.

취약점의 실제 악용이 시작되거나 기술 세부정보가 실수로 유출되거나 공개 패치 자체에서 취약점의 위치가 노출되는 경우에도 원래 공개 일정을 재평가해야 합니다. OpenAI는 고정된 기한을 기계적으로 따르기보다는 위협이 변화함에 따라 조정 메커니즘이 신속하게 조정될 수 있어야 한다고 믿습니다.

더 많은 조직이 조치를 취할 수 있도록 OpenAI는 PHP 버전 확인 도구를 제공하고 시스템 운영자가 잠재적으로 위험한 PHP 버전을 식별하고 공식 PHP 및 서비스 제공업체 지침을 기반으로 적용 가능한 업데이트 계획을 결정할 수 있도록 지원하는 Codex 기술을 출시할 계획이라고 밝혔습니다. 또한 OpenAI는 "Patch the Planet" 프로젝트를 통해 취약점 공개 정보 및 보호 가이드를 집계하여 관리자가 신뢰할 수 있는 패치를 찾고, 임시 완화 조치를 이해하고, 업데이트가 실제로 배포되었는지 확인할 수 있도록 돕습니다.

리소스 지원 측면에서 OpenAI는 "일선 방어자를 위한 Daybreak" 프로그램을 통해 미화 10억 달러 상당의 Daybreak 서비스 액세스 보조금을 제공할 것을 약속합니다. 이 프로그램은 보안 리소스가 제한되어 있지만 중요한 서비스 보호 작업을 담당하는 조직을 지원하는 데 중점을 두고 있습니다. 또한 회사는 OSS용 Codex를 통해 오픈 소스 소프트웨어 유지관리자에게 구독 지원을 제공하고 Rust Foundation과 같은 프로젝트를 직접 후원하여 유지 관리 작업 및 기술 개선을 위한 리소스를 제공할 것입니다.

OpenAI는 오픈소스 소프트웨어 프로젝트의 유지 관리 팀의 규모가 제한되는 경우가 많다고 지적했습니다. 일상적인 개발 작업 외에도 보안 보고서를 처리하고, 취약점의 영향을 확인하고, 패치를 확인하고, 여러 소프트웨어 버전과 호환되어야 합니다. 이러한 작업은 시간이 많이 걸리며 인공 지능은 코드 분석, 중복 보고서 식별, 테스트 작성 및 수정 사항 확인을 지원하여 유지 관리 담당자의 작업량을 줄일 수 있습니다.

OpenAI는 개별 취약점을 발견하고 수정하는 것 외에도 소프트웨어 설계 단계부터 보안 결함을 줄여야 한다고 제안합니다. 회사는 AI가 엔지니어가 더 안전한 기본값을 선택하고, 보안 라이브러리를 올바르게 사용하고, 개발 프로세스 초기에 위험한 코드 패턴을 감지하는 데 도움이 될 수 있다고 믿습니다.

또 다른 중요한 방향은 주요 소프트웨어 구성 요소를 메모리 안전 언어로 마이그레이션하는 것입니다. 많은 심각한 취약점은 이미 해제된 메모리에 액세스하거나 범위를 벗어난 발생을 버퍼링하는 등의 메모리 관리 오류로 인해 발생합니다. 메모리 안전이 보장되는 언어를 사용하면 소스에서 많은 종류의 일반적인 결함을 제거할 수 있습니다. 인공 지능은 코드 마이그레이션을 지원할 수 있지만 마이그레이션 후 동작, 호환성 및 보안에는 여전히 테스트와 전문적인 검토가 필요합니다.

OpenAI는 또한 공식적인 검증과 더 강력한 격리 메커니즘을 강조합니다. 공식 검증은 수학적 방법을 사용하여 프로그램이 명시적인 가정 하에서 특정 보안 속성을 충족하는지 입증함으로써 주요 구성 요소의 신뢰성을 향상시키는 데 도움을 줍니다. 샌드박스 기술은 신뢰할 수 없는 파일, 이미지 또는 미디어 콘텐츠를 처리하는 소프트웨어를 통제된 환경으로 제한할 수 있습니다. 프로그램이 손상되더라도 공격자가 전체 시스템을 추가로 제어할 수 있는 기회가 줄어들 수 있습니다.

동시에 회사는 사이버 보안에 인공 지능의 사용을 확대하려면 더욱 정교한 악용 방지 조치가 필요하다는 점을 인정합니다. OpenAI는 악의적인 공격에 사용되는 도구의 위험을 줄이기 위한 노력의 일환으로 Daybreak의 보안 분류자를 추가로 조정하고 있습니다. 그러나 회사는 너무 엄격한 제한이 합법적인 보안 연구를 방해할 수도 있으므로 방어 기능 개방과 악의적인 사용 방지 사이에 균형을 맞춰야 한다고 밝혔습니다.

OpenAI는 마침내 소프트웨어 유지관리자, 연구원, 네트워크 보안 서비스 제공업체 및 기업 운영자에게 이 프레임워크를 개선하기 위해 협력할 것을 요청합니다. 회사는 다음과 같은 몇 가지 문제에 집중하기를 희망합니다. 취약점이 공개되기 전에 방어자가 준비하는 데 얼마나 많은 시간을 허용해야 하는지; 심각한 취약점이 사전에 공개될 수 있는 경우 어떤 조직에 사전에 경고가 필요한지; 이전 버전의 소프트웨어를 업그레이드할 때 롤백 패치와 보안 대안을 안정적으로 제공하는 방법을 적시에 수행할 수 없습니다.

OpenAI는 또한 논란이 많은 미래 시나리오를 제안했습니다. 즉, 인터넷 시스템은 점진적으로 지속적인 취약점 검색 메커니즘을 구축하고, 알려진 취약점이 발견되면 웹사이트 소유자에게 알리고, 적절한 인증을 통해 시스템을 직접 패치할 수도 있습니다. 그러나 이러한 유형의 접근 방식에는 시스템 소유권, 관리 권한, 오작동 위험 및 책임 경계가 포함되며 엄격한 기술 및 거버넌스 보장이 여전히 확립되어야 합니다.

이 PHP 취약점 사건은 인공 지능이 네트워크 보안 작동 방식을 변화시키고 있음을 보여줍니다. 과거에는 심각한 취약점을 발견, 분석, 복구하고 대규모로 배포하려면 여러 팀 간의 장기적인 조정이 필요한 경우가 많았습니다. 오늘날 고급 모델은 취약성 연구 속도를 높일 수 있지만 진정한 인터넷 보호는 여전히 소프트웨어 유지 관리 담당자, 클라우드 서비스 제공업체, 기업 및 정부 기관이 신속하게 조치를 취할 수 있는지 여부에 달려 있습니다.

OpenAI의 경우 '패치 더 플래닛(Patch the Planet)'은 PHP 취약점에 대한 긴급 대응일 뿐만 아니라, 인공지능 시대의 조화로운 취약점 공개 메커니즘을 탐구하는 연습이기도 합니다. 보안 결함을 발견하는 인공 지능의 능력이 지속적으로 향상됨에 따라 미래의 사이버 보안 경쟁의 핵심은 더 이상 취약성을 먼저 찾는 것이 아니라 누가 문제를 더 빨리 확인하고, 코드를 수정하고, 영향을 받는 시스템을 적시에 보호할 수 있는지가 될 수 있습니다.

관련 기사:

PHP는 심각한 보안 취약점을 노출했으며, 글로벌 웹사이트 운영자들은 긴급하게 패치 상태에 돌입했습니다.

두 가지 심각한 취약점으로 인해 서버에서 원격 코드가 실행될 수 있습니다. PHP 공식 긴급 보안 패치