전세계 웹사이트에 비상을 부른 PHP 보안 취약점 발견은 인공지능(AI) 도움이 없었다면 불가능한 일이었다고 미 일간 월스트리트저널(WSJ)이 보도했다.
22일 WSJ에 따르면 'PHP2셸' 보안 취약점은 보안업체 캘리프(Calif)의 연구원 라이언 오스틴이 지난 8월 오픈AI의 AI 모델 'GPT-5.6 Sol'을 활용해 PHP 소스코드를 점검하던 중 발견했다. 오픈AI는 오픈소스 소프트웨어의 보안 문제를 찾아 해결하도록 지원하는 활동의 일환으로 이번 점검에 자금을 댔다.
타이 즈엉 캘리프 최고경영자(CEO)은 “문제의 소지가 있는 부분은 과거에도 지적됐지만 실제 공격에 활용하기가 너무 어렵다고 여겨져 대부분 잊혔다가, 이번에 그 결함을 실제로 악용할 수 있는 방법이 AI의 도움을 받아 발견된 것”이라고 설명했다.
구글 산하 보안업체 위즈(Wiz)의 연구진도 캘리프와 별개로 찾아낸 공격 기법들을 지난 8월 24일 보고했으며, 9월 18일에 오픈AI 연구팀에서도 추가 발견 사항이 나왔다.
위즈 공동 창업자 아미 루트와크는 PHP2셸이 “지금까지 AI로 찾아낸 취약점 가운데 가장 심각한 것”이라며, AI가 없었다면 발견하기 어려웠을 만큼 복잡한 취약점“이라고 말했다.
특히 패치를 분석해 공격 방법을 고안하는 작업을 오늘날의 AI 도구가 인간들보다 훨씬 빠르게 수행할 수 있는 만큼 향후 위험이 더 커질 수 있다는 게 보안 전문가들의 지적이다.
연구진은 수정 작업이 끝나기 전에 공격자가 AI를 이용해 취약점을 찾아 악용할 가능성을 우려해, 한동안 관련 정보를 비밀로 유지했다. 당초 패치 공개 예정일은 10월 22일이었으나, 20일 온라인 커뮤니티 해커 뉴스에 패치 소식이 유출됨에 따라 일정이 예정보다 하루 앞당겨진 것이다.
이번 취약점은 PHP가 컴퓨터 메모리를 관리하는 방식과 관련돼 있다. 오스틴 연구원이 PHP를 실행하는 서버에 적게는 수십 차례 요청을 보내는 것만으로 메모리에서 실행되는 코드를 제어할 수 있는 방법을 알아낸 것이다. 공격자가 이를 악용하면 보안 패치가 적용되지 않은 서버에서 허가받지 않은 프로그램을 실행할 수 있다. WSJ에 따르면 규모가 작은 시스템에서는 공격에 몇 초밖에 걸리지 않았고, 더 복잡한 시스템에서는 몇 시간이 걸릴 수 있다고 평가했다.
강성전 기자 castlekang@etnews.com
