공격받기 전 PHP 보안 취약점 찾은 AI, ‘시간 경쟁’ 중요성 증명
전문가들 “이론적으로만 가능했는데…앞으론 인공지능간 대결”
전 세계 웹사이트에서 광범위하게 사용되는 프로그래밍 언어 ‘PHP’에서 치명적인 보안 취약점을 찾아내는 데 인공지능(AI)이 핵심 역할을 한 것으로 알려지면서 충격을 주고 있다.
인간이 몰랐거나 무시했던 보안 취약점까지 AI가 발견한 것인데, 이러한 AI의 능력이 해킹 공격에 악용되면 큰 피해를 초래할 수 있다는 우려가 나온다.
22일 PHP재단과 오픈AI 등에 따르면 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP에서 발견된 2건의 보안 취약점은 위험도 점수(CVSS) 10점 만점에 9.2점의 ‘치명적’ 등급으로, PHP 개발진은 전날 취약점을 수정한 보안 패치를 긴급 배포했다.
이번 취약점은 AI 분석을 통해 발견됐다. PHP재단이 이 문제를 처음 인지한 2024년엔 공격 실행 경로가 파악되지 않아 대응을 놓쳤다. 재단은 올해 오픈AI의 사이버보안 프로젝트 ‘패치 더 플래닛’을 적용했다.
보안업체 캘리프의 한 연구원이 오픈AI의 AI 모델 ‘GPT-5.6 솔’을 사용해 PHP 소스코드를 점검하던 중 지난 8월 취약점을 찾아내 보고했다. 이어 오픈AI와 구글 산하 보안업체 위즈도 별도로 같은 취약점을 보고했다.
임종인 고려대 정보보호대학원 교수는 “이번 PHP 취약점은 15~20년 전에도 이론적으로 지적됐던 것이지만 너무 복잡해 실현 가능성이 거의 없다고 생각했다”며 “AI가 마치 어려운 수학 문제를 풀어내듯이 빠르게 분석해 실제 실행 가능한 공격 코드로 만들어낸 것”이라고 했다.
임 교수는 “그동안 발견하지 못했거나 이론적으로만 가능하다고 생각했던 취약점들을 AI가 찾아내고 실현 가능하게 만들어내고 있다”며 “앞으로는 AI를 AI로 막을 수밖에 없다는 의미”라고 했다.
오픈AI는 “프런티어(최첨단) AI가 공격자보다 먼저 취약점들을 발견했다”며 “덕분에 유지관리자와 보안업체는 공개 전 수정사항과 보호조치를 준비할 수 있는 ‘방어자의 기회’를 얻었다”고 밝혔다.
이는 공격 의도를 가진 쪽에서 더 빠르게 AI로 취약점을 포착하면 치명적인 공격으로 이어질 수 있다는 의미이기도 하다. 김명주 서울여대 정보보호학과 교수는 “AI 성능이 프런티어급으로 올라갈수록 코드를 분석해 취약점을 찾아내는 능력이 굉장히 높아진다”고 했다. 최근 국내 금융권 연쇄 해킹에서도 AI 활용 정황이 나타나는 등 우려가 커지고 있다.
공격자와 방어자의 ‘시간 경쟁’이 벌어지는 동시에 빠르게 취약점을 찾아낼 수 있는 고성능 AI를 누가 갖느냐도 중요하다. 이 때문에 지난 4월 앤트로픽의 최첨단 AI 모델 ‘미토스’가 출시되자 미국 정부는 안보사안으로 규정해 수출 통제까지 단행했다.
앞으로 AI를 통해 새로운 취약점이 계속 발견되고 AI를 악용한 해킹 공격도 늘어날 것으로 전망되는 상황에서 국가 차원의 적극적 대비가 필요하다.
박찬암 스틸리언 대표는 “AI는 문제점을 빠르게 찾아내지만 악용할 수도 있는 ‘양날의 검’ 같은 것”이라며 “이번처럼 패치가 빨리 나오면 괜찮지만 패치가 안 나오면 악용될 수 있다”고 했다. 박 대표는 또 “중소기업은 대응이 힘들 수 있어 (AI 보안사고를) 자연재해로 보고 피해를 최소화하는 방법을 고민해야 한다”고 했다.
김 교수는 “이번 PHP 사례는 서막이다. 지금까지 취약하다고 생각하지 않았던 부분에도 취약점이 상당히 많이 숨어 있을 수 있다”며 “앞으로는 AI 보안은 AI로 해야지, 사람의 힘만으로는 불가능하다는 얘기가 나온다”고 했다.
댓글
0