PHP 보안 결함, AI 없으면 발견못했다…해킹 대응에 '창과 방패'
8월 보안업체 '캘리프'가 오픈AI 'GPT-5.6 Sol' 활용해 찾아내
(서울=연합뉴스) 임화섭 기자 = 전세계 웹사이트에 비상을 부른 PHP 보안 결함을 발견한 것은 인공지능(AI)의 도움이 없었다면 불가능한 일이었다고 미 일간 월스트리트저널(WSJ)이 진단했다.
22일자 WSJ에 따르면 'PHP2셸'(PHP2Shell) 보안 취약점은 보안업체 캘리프(Calif)의 연구원 라이언 오스틴이 올해 8월 오픈AI의 AI 모델 'GPT-5.6 Sol'을 활용해 PHP 소스코드를 점검하던 중 발견했다.
오픈AI는 오픈소스 소프트웨어의 보안 문제를 찾아 해결하도록 지원하는 활동의 일환으로 이번 점검에 자금을 댔다.
이 취약점은 PHP가 컴퓨터 메모리를 관리하는 방식과 관련돼 있다.
공격자가 이를 악용하면 보안 패치가 적용되지 않은 서버에서 허가받지 않은 프로그램을 실행할 수 있다.
타이 즈엉 캘리프 최고경영자(CEO)에 따르면 문제의 소지가 있는 부분은 과거에도 지적됐지만 실제 공격에 활용하기가 너무 어렵다고 여겨져 대부분 잊혔다가, 이번에 그 결함을 실제로 악용할 수 있는 방법이 AI의 도움을 받아 발견됐다.
오스틴은 PHP를 실행하는 서버에 적게는 수십 차례 요청을 보내는 것만으로 메모리에서 실행되는 코드를 제어할 수 있는 방법을 알아냈다.
WSJ에 따르면 규모가 작은 시스템에서는 공격에 몇 초밖에 걸리지 않았고, 더 복잡한 시스템에서는 몇 시간이 걸릴 수 있었다.
즈엉은 8월 11일 PHP를 관리하는 비영리 재단인 'PHP 재단'의 보안 엔지니어 폴커 두슈에게 전화를 걸어 "여기에 심각한 문제가 있다"며 보안 결함 발견을 알렸다.
두슈는 "순간 '맙소사, 이제 어떻게 하지? 이걸 어떻게 알려야 하지?'라는 생각이 들었다"며 "그리고 나서 마음을 가라앉히고 아드레날린이 온몸에 도는 것을 느끼면서 문제를 고치기 시작하는 것이다"라고 당시를 회고했다.
오픈AI도 똑같은 날 같은 근본 원인을 독립적으로 보고했다.
캘리프의 발견을 계기로 보안 연구자와 소프트웨어 엔지니어들이 비공식 실무그룹을 꾸리고 소프트웨어 배포업체 및 보안업체들과 함께 수정 방안을 마련했다.
구글 산하 보안업체 위즈(Wiz)의 연구진도 캘리프와 별개로 찾아낸 공격 기법들을 8월 24일 보고했으며, 9월 18일에 오픈AI 연구팀에서도 추가 발견 사항이 나왔다.
위즈 공동 창업자 아미 루트와크는 PHP2셸이 "지금까지 AI로 찾아낸 취약점 가운데 가장 심각한 것"이라며, AI가 없었다면 발견하기 어려웠을 만큼 복잡한 취약점이라고 말했다.
PHP 재단 역시 캘리프의 최초 보고 이후 오픈AI와 위즈가 추가 공격 경로를 보고했다고 밝혔다.
연구진은 수정 작업이 끝나기 전에 공격자가 AI를 이용해 취약점을 찾아 악용할 가능성을 우려해, 한동안 관련 정보를 비밀로 유지했다.
패치 작업의 규모는 방대했다.
WSJ에 따르면 수정 대상 파일은 200개에 육박했고, 수정을 위해 개발자들이 작성한 코드는 1만 줄을 넘었다.
당초 패치 공개 예정일은 10월 22일이었으나, 20일 온라인 커뮤니티 해커 뉴스에 패치 소식이 유출됨에 따라 일정이 예정보다 하루 앞당겨졌다.
PHP 재단은 20일에 "21일 수요일에 중대한 보안 업데이트가 나올 예정이니 대비하라"는 취지의 예고 공지를 전세계를 상대로 낸 데 이어, 21일 두 가지 중대한 취약점을 수정한 보안 업데이트를 공개했다.
WSJ는 보안 패치가 공개되면 방어자와 해커 사이에 경주가 시작되는 것이라며 "방어자는 패치를 시험하고 설치해야 한다. 반면 해커는 패치를 새로운 취약점을 찾아내는 길잡이로 삼는다. 무엇이 바뀌었는지 살펴본 뒤 해당 부분을 공격할 방법을 고안하는 것"이라고 설명했다.
패치를 분석해 공격 방법을 고안하는 작업을 오늘날의 AI 도구는 인간들보다 훨씬 빠르게 수행할 수 있어, 이 과정의 위험이 더 커질 수 있다는 게 보안 전문가들의 지적이라고 WSJ는 전했다.
solatido@yna.co.kr
(끝)
<저작권자(c) 연합뉴스, 무단 전재-재배포, AI 학습 및 활용 금지>