PHP2Shell 사태, AI가 알려진 취약점을 악용하기 쉽게 만든 경위

PHP2Shell 취약점 공개 이후 AI가 취약점 발견과 악용을 가속하고 있다는 분석

PHP2Shell로 총칭되는 취약점이 공개되면서 보안 담당자와 웹 관리자들이 이번 주 패치 적용에 쫓겼다. Cloudflare의 분석에 따르면 공개 후 몇 시간 만에 수백만 건의 악용 시도가 있었다. 한편 PHP Foundation은 성공한 악용을 확인하지 않았으며, 유통되는 공격 코드 대부분은 제대로 작동하지 않는 것으로 보인다고 밝혔다.

이 취약점을 처음 특정하고 공격 코드를 만든 것은 보안 기업 Calif의 연구자로, 8월 초의 일이다. 이들은 OpenAI의 Patch the Planet 프로그램 아래에서 프런티어 AI 도구를 사용하면서 PHP에 관한 전문가 지식을 결합했다. 근본 문제의 일부는 2024년에 이미 파악되어 있었지만, 당시에는 악용이 지나치게 복잡하다고 판단되었다. 이후 OpenAI의 연구자와 Google 산하 Wiz의 연구자도 각각 독립적으로 AI 도구를 이용해 결함을 발견했다. Wiz의 연구자는 인간 공격자가 악용할 수 없었기 때문에 방치되어 있었다고 말했다.

AI 모델의 성능이 향상되면서 취약점 분석과 악용은 빨라졌고, 자원이 부족한 IT 부서와 개발자들의 부담은 커지고 있다. Microsoft의 보안 업데이트는 이번 달에만 역대 최다인 1,453건의 취약점을 포함했으며, Bank of America는 Anthropic의 Mythos가 찾아낸 결함을 수정하기 위해 컨설턴트 1,000명을 채용했다고 한다.

전문가들은 AI가 새로운 일을 하고 있는 것이 아니라, 취약점 발견과 조정된 공개(협조적 공개)라는 기존의 역학을 증폭하고 있을 뿐이라고 강조한다. 전 NSA 해커 Jake Williams는 오랫동안 남아 있던 버그는 더 발견될 것이라고 하면서도, PHP만큼 인터넷에 노출된 공격 대상은 많지 않다고 지적했다. Calif의 연구자 Ryan Austin은 단순한 프롬프트로 모든 버그를 찾아낼 수 있는 모델은 없다고 썼다. Niels Provos 역시 AI를 이용한 탐색이 1년 넘게 이어지는 가운데 이번 건에도 고도의 전문 팀이 필요했다며, 우려하지 않는다고 말했다.