OpenAI, PHP 중대 취약점 대응 주도하고 Patch the Planet에서 글로벌 공조 체계 제안
Patch the Planet: global response coordination as agents uncover critical vulnerabilities
OpenAI는 지난 두 달간 유지관리자, 연구자, 보안 기업과 협력해 PHP의 중대 취약점 2건 대응을 주도했다고 밝혔다. Calif는 GPT-5.6 Sol을 활용해 중대한 결함을 찾아냈고, Wiz도 독자적으로 두 건을 모두 발견해 보고했다. OpenAI는 PHP 버전 체커를 공개했으며 Codex 스킬도 제공할 예정이다. 아울러 Daybreak for Frontline Defenders를 통해 보조금이 지원되는 Daybreak 접근권 10억 달러어치를 약속했다.
대상은 웹사이트와 웹 애플리케이션 운영에 쓰이는 오픈소스 언어 PHP의 취약점이다. 수정과 배포는 PHP 유지관리자가 주도했고, OpenAI 팀과 Wiz, Cloudflare 등 파트너가 조사, 기술 지원, 공개 전 방어 준비를 맡았다. OpenAI는 심각도와 PHP의 보급 수준을 고려할 때 최근에도 특히 영향이 큰 보안 문제 중 하나로 본다고 밝혔다. 프런티어 AI가 공격자보다 먼저 취약점을 찾아냄으로써, 유지관리자와 기업이 수정과 방어를 준비할 수 있는 "Defender's Window"가 생겼다고 설명했다.
OpenAI는 향후 수개월 안에 이와 같은 발견이 급증할 것으로 전망하며, 중대 취약점 대응 체계를 제안했다. 단계는 다섯 가지다. 상류에서 취약점을 검증하고 수정하기, 영향을 받는 조직에 준비 시간 주기, 정부 기관과 협력하기, 영향을 받는 제품 전반의 업데이트 준비하기, 패치 공개 후 가이던스를 제공해 배포를 지원하기다. 수정 검증에는 프런티어 모델을 활용한 우회책과 관련 변종 탐색도 포함된다.
PHP 사안에서는 미국 정부 기관 등 여러 부처 및 국제 파트너와도 협력했다. 사전 정보를 받을 조직은 자사와 고객을 보호하는 역할, 대응에 필요한 시간, 민감 정보를 다룰 역량을 기준으로 검토되며, 누구를 참여시킬지는 유지관리자가 결정한다. 악용 사실이 확인되거나 정보가 유출되거나, 패치로부터 내용이 추측될 수 있는 경우에는 타임라인을 재검토한다고 밝혔다. Patch the Planet 사이트에서는 PHP의 공식 패치, 절차, 임시 완화책 등을 안내하고 있다.
유지관리자 지원으로는 자금 지원, 고성능 모델 접근권, 엔지니어링 지원을 꼽았다. 모든 유지관리자를 대상으로 한 Codex for OSS 구독과 Rust Foundation에 대한 직접 지원도 포함되며, 오픈소스 프로젝트는 Patch the Planet에 지원을 신청할 수 있다. Daybreak용 추가 차단 분류기를 조정 중이며, 악용 방지와 정당한 보안 작업 방해 사이에 상충 관계가 있다고 설명했다.
이 밖에도 보안이 확보된 코드를 초기 단계부터 작성하고, 메모리 안전 언어로 전환하며, 형식 검증과 샌드박스 격리를 강화하는 것을 더 안전한 소프트웨어 기반의 방향으로 제시했다. 공개 기간, 긴급 패치, 사전 통지 범위, 기본값으로 안전한(secure-by-default) 패키지에 대해서는 보안 커뮤니티의 의견을 구하고 있다.
PHP 취약점 대응을 사례로 수정부터 알림, 정부 협력까지 다섯 단계로 정리해, 중대 취약점 대응 절차를 비교할 때 참고 자료가 된다.
출처: OpenAI News · openai.com