메뉴 보기
전 세계를 해킹 공포로 몰아넣은 PHP 보안 취약점의 발견은 인공지능(AI)이 보안 위협의 판도를 어떻게 바꾸고 있는지를 단적으로 보여준다. 이번 발견은 AI가 결정적 역할을 했다. 반대로 보면 해커들 역시 AI를 활용해 대규모 공격에 나설 수 있다는 의미가 된다. AI가 만들어 낼 창과 방패의 대결은 한층 치열해질 전망이다.
21일(현지시간) PHP 재단과 월스트리트저널(WSJ) 등에 따르면 이번 결함은 2024년 독일 ‘소버린테크 에이전시’의 지원으로 진행된 외부 보안감사에서 처음 포착됐다. 당시 개발진은 메모리 부족 상황을 처리하는 과정의 결함을 확인했지만, 만장일치로 결정하는 보안팀 구조 탓에 수정 방식을 정하지 못했다. 호환성·성능 저하 우려에다 실제 원격 공격으로 이어진다는 점을 입증하지 못한 사정까지 겹쳐 패치는 보류됐다.
상황이 바뀐 건 지난 8월이다. 미국 보안업체 캘리프의 라이언 오스틴 연구원이 오픈AI가 비용을 댄 점검에서 ‘GPT-5.6 Sol’로 PHP 코드를 분석해 8월1일 결함을 찾아냈고, 오픈AI 보안팀과 구글 계열 보안업체 위즈도 각각 같은 결함을 확인했다. 실제 공격이 어렵다고 여겨졌던 결함을 AI가 악용할 방법을 찾아낸 것이다. 아미 루트와크 위즈 공동창업자는 “AI가 없었다면 발견하기에 지나치게 복잡했을 것”이라고 평가했다. 재단은 블로그에서 “보안팀의 의사결정 과정과 자원 부족 모두에 기인한 구조적 실패였다”고 자인하고 다수결 중심으로 보안 체계를 손보겠다고 밝혔다.
8월11일 캘리프의 보고를 받은 재단은 오픈AI·위즈 등과 비공식 작업반을 꾸려 두 달가량 비밀리에 패치를 준비했고, 정식 공개일은 22일로 잡았다. 그러나 20일 온라인 게시판에 취약점 번호가 퍼지면서 계획이 흔들렸다. 재단이 배포를 하루 앞당긴 와중에 캘리프가 실수로 공격 시연 영상을 올렸다가 지웠고, 복사본이 소셜미디어에 돌면서 공격 도구 개발이 빨라졌다. 이어 패치 배포업체 체인가드가 정식 배포 6시간여 전 패치가 적용된 소프트웨어 이미지를 먼저 내놨다. 재단은 이를 강하게 비판했다. 댄 로랜크 체인가드 최고경영자는 공격 징후가 확인돼 공조 지침을 따랐다고 해명하면서도 “PHP 재단과 관리자들에게 미안하다”고 사과했다.
각국은 정부 사이트 등을 임시중단하는 특단의 조처를 내렸다. 네덜란드에선 국가사이버보안센터(NCSC)의 권고에 따라 로테르담항과 정부 포털, 주요 정당과 병원 웹사이트가 줄줄이 오프라인으로 전환됐고, 핀란드·덴마크·벨기에·프랑스·독일·체코의 정부 사이트도 잇달아 운영을 중단했다. 미국 국가안보국(NSA)은 긴급 보안 경고를 발령하고 신속한 패치 설치를 권고했으며, 연방수사국(FBI)은 이미 침해됐을 가능성까지 점검하도록 했다. 일본도 총리 및 재무성 등 정부·지방자치단체 홈페이지에 대해 긴급 점검을 실시했다.
보안업계는 이번 일을 AI가 공격과 방어 양쪽에서 속도 경쟁을 본격화한 사례라고 했다. 대형언어모델(LLM) 기반 AI 에이전트는 방대한 코드에서 여러 논리 결함을 엮어 공격 코드를 거꾸로 설계해 내는 수준에 이르렀다. 규모가 작은 시스템이라면 공격에 단 몇 초, 복잡한 시스템이라도 수 시간이면 공격이 가능할 것이라는 게 보안업계 분석이다. 이번에는 연구진이 공격자보다 먼저 결함을 찾아내 패치 작업을 할 수 있었지만, 방어하는 쪽이 앞으로도 늘 한발 앞선다는 보장은 없다는 점에서 대비가 필요하다는 지적이다.
코스틴 라이우 보안업체 TLP블랙 공동창업자는 로이터통신에 AI가 ‘악용 경쟁’에 불을 붙이고 있다며 “다음 단계는 인터넷에 있는 취약한 웹서버 전부가 대량으로 침해당하는 것”이라고 경고했다.
