[화담일보 = 임하겸기자] 인공지능(AI)을 활용한 연구로 웹사이트에 널리 쓰이는 프로그래밍 언어 PHP의 중대한 보안 취약점이 발견되면서, 보안업계에서 결함 발견과 공격의 속도를 방어 체계가 따라가지 못할 수 있다는 경고가 나왔다. 가디언의 23일 보도에 따르면 지난 21일 취약점이 공개된 뒤 미국과 영국의 정부·민간 웹사이트 일부가 보안 패치를 적용하기 위해 운영을 일시 중단했다.
이번 사안은 보안업계에서 ‘블랙 옥토버’로 불리고 있다. 연구자들이 AI의 도움으로 수백만 개 웹사이트에 사용되는 PHP의 핵심 결함을 찾아낸 것이 계기다. 해당 결함은 수년 동안 수정되지 않은 채 사이트를 공격에 노출했을 가능성이 제기됐다. 일부 전문가들은 전체 인터넷 사이트의 70%가 해킹 위험에 놓였을 것으로 추산했다. 이는 전문가들의 위험 범위 추정치로, 실제 침해가 확인된 사이트 비율을 뜻하지는 않는다.
미국 국가안보국(NSA)은 PHP를 사용하는 사이트에 즉시 패치를 적용할 것을 권고하는 경보를 냈다. NSA는 악의적인 사이버 공격자가 이 결함을 추가로 악용해 서버에 무단 접근할 수 있다고 경고했다. 이런 접근 경로가 민감한 정보의 탈취와 서비스 방해에 이용되거나, 공격자가 네트워크 내부로 더 깊이 침투하는 수단이 될 수 있다는 설명이다.
취약점을 악용하려는 움직임도 이미 포착됐다. 보안업체 클라우드플레어의 매슈 프린스 최고경영자(CEO)는 엑스(X) 게시물에서 결함 공개 전 10시간 동안 수천 명이 이를 악용하려 한 정황을 관측했다고 밝혔다. 그는 공개 후 45분 만에 그 규모가 수만 명으로, 2시간 안에 수십만 명으로 늘었고 게시 시점에는 수백만 명에 이르렀다고 주장했다. 이 수치는 프린스가 설명한 악용 시도의 규모이며 공격 성공이나 피해 규모와는 구별된다.
기술기업 경영진이 우려하는 지점은 AI가 방어와 공격 양쪽에 쓰일 수 있다는 점이다. AI가 기존에 찾기 어려웠던 취약점을 빠르게 식별하면 보안 개선에 도움이 될 수 있지만, 공격자 역시 같은 도구로 결함을 찾아 악용하는 속도를 높일 수 있다는 것이다. 프린스는 인터넷 전반의 취약점을 끈기 있게 탐색하는 새로운 도구들로 향후 2년이 매우 험난해질 것이라고 전망했다.
앤트로픽의 제이슨 클린턴 부최고정보보호책임자는 목요일 저녁 엑스에서 앞으로 몇 달간 ‘취약점 쓰나미’가 닥칠 수 있다며 핵심 기반시설의 결함을 수정할 시간이 부족할 것이라고 내다봤다. 세일즈포스의 마크 베니오프 CEO도 이를 비상상황으로 표현했다. 샘 올트먼 역시 같은 날 저녁 모든 버그를 수정할 수 있을 것으로 더는 생각하지 않는다고 말했다. 이들 발언은 앞으로의 대응 부담에 대한 경영진의 경고다.
AI 보안 플랫폼 위즈의 연구진은 블로그에서 이번 결함을 PHP에서 발견된 가장 심각한 취약점 가운데 하나로 평가했다. 연구진에 따르면 근본적인 결함은 수십 년간 존재했지만, 실제로 악용할 수 있음을 입증하려면 극도로 복잡한 단계를 연결해야 했다. 이들은 그 과정이 인간 연구자가 실질적으로 수행할 수 있는 한계에 가까웠다고 설명했다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}