전 세계 웹사이트에서 널리 사용되는 프로그래밍 언어 PHP의 치명적인 보안 취약점 'PHP2Shell'이 인공지능(AI)을 활용한 소스코드 분석 과정에서 발견된 것으로 나타났다. 수십 년 전 위험성이 제기됐지만, 실제 공격이 어렵다고 여겨졌던 결함을 AI가 악용할 방법을 찾아낸 것이다.

21일(현지 시간) 월스트리트저널(WSJ)에 따르면 보안업체 캘리프(Calif)의 연구원 라이언 오스틴은 지난 8월 오픈AI의 AI 모델 'GPT-5.6 Sol'을 활용해 PHP의 소스코드를 점검하던 중 'PHP2Shell' 취약점을 발견했다.

PHP는 전 세계 웹사이트의 최대 70%에서 사용되는 기술이다. 이번 취약점은 PHP의 메모리 관리 방식에서 발생하는 결함으로, 해커가 이를 악용하면 보안 패치가 적용되지 않은 서버에서 임의의 프로그램을 실행하고 시스템 통제권을 탈취할 수 있다.

특이 이번 결함은 수십 년 전 한 보안 연구원이 잠재적 위험 요소로 지적했지만, 실제 공격에 활용하기 어렵다는 이유로 사실상 잊혀 있었다.

그러나 AI를 활용한 분석으로 공격 방법이 확인되면서 상황이 달라졌다. 오스틴은 PHP 서버에 수십 차례 요청을 보내 메모리에서 실행 중인 코드를 제어하는 공격 방법을 찾아냈다. 규모가 작은 시스템에서는 공격에 단 몇 초, 복잡한 시스템에서도 수 시간이면 공격이 가능한 것으로 나타났다.

PHP 프로젝트를 관리하는 비영리재단의 보안 엔지니어 폴커 두슈는 이번 취약점을 PHP가 10여 년 만에 직면한 가장 최악의 보안 문제로 평가했다. 그는 이를 2014년 전 세계 수십만 대의 서버에 영향을 미친 보안 취약점 '하트블리드(Heartbleed)'에 비유했다.

타이 즈엉 캘리프 최고경영자(CEO)는 지난 8월 11일 PHP 개발진에 취약점을 알렸다. 이후 보안 연구원과 소프트웨어 개발자들로 구성된 실무그룹이 꾸려져 약 두 달간 보안 패치 개발을 진행했다.

이 과정에서 약 200개 파일을 수정하고 1만 줄 이상의 코드를 작성했다. 연구진은 AI를 활용한 해커들이 패치 완성 전에 취약점을 악용할 가능성을 우려해 관려 정보를 비밀에 부쳤다.

그러나 당초 예정된 22일 패치 배포를 이틀도 채 남기지 않은 20일 온라인 기술 커뮤니티 해커뉴스에 관련 정보가 유출됐다. 이에 PHP 개발진은 대응 일정을 앞당겨 21일 긴급 보안 업데이트를 예고했다.

보안 전문가들은 AI가 기존에 발견하기 어려웠던 취약점을 찾아내는 것뿐 아니라 해커들의 공격 방법 개발에도 활용될 수 있다고 경고했다. 해커들은 통상 공개된 보안 패치에서 변경된 부분을 분석해 공격 방법을 찾아내는데, AI를 이용하면 이 과정에 걸리는 시간을 크게 단축할 수 있기 때문이다.

즈엉 CEO는 누군가 공개된 패치를 AI로 분석해 공격 코드를 인터넷에 올릴 수 있다며 "그러면 걷잡을 수 없는 혼란이 벌어질 것"이라고 경고했다.

구글 위즈(Wiz)의 공동창업자 아미 루트왁은 이번 취약점이 AI를 통해 발견된 보안 문제 가운데 가장 심각한 수준이라며 AI가 없었다면 찾아내기 어려웠을 것이라고 평가했다.

<뉴시스>