AI 활용 발견, 단독 자동화 아닌 연구원 협력형

오픈AI 발표에 따르면 php.net의 핵심 취약점은 연구원이 GPT-5.6 Sol을 활용해 발견했고 위즈가 독자적으로 발견한 사례도 있었습니다. 1차 출처상 AI는 연구원의 도구였지 스스로 취약점을 자동 찾아낸 것이 아닙니다. 캘리프의 '8월 발견·보고' 같은 세부 타임라인은 월이 명시되지 않아 아직 확인되지 않았습니다.

방어 측 1차 출처, php.net·KISA·CISA 공개

php.net과 한국인터넷진흥원, 미국 사이버보안·인프라보안국은 취약점 공개와 대응 절차를 각각 문서로 밝혔습니다. CISA는 해당 취약점을 알려진 악용 목록에 포함시키는 등 실제 위협을 인정했습니다. 방어 측 서사는 독립된 발표문 여러 개로 뒷받침됩니다.

출처: 조사 출처

공격 측 보고, 악용 피해와 악용코드 공개는 구분 필요

마이크로소프트 디지털 방어 보고서에 따르면 국가 배후 행위자의 AI 악용이 확대되는 상황을 지적했습니다. 크라우드스트라이크는 공격자를 26세 광둥성 출신으로 추정했지만 중간 신뢰도로 확정되지 않았습니다. 국내 수사에서도 AI 악용 사례가 적발됐습니다.

다만 'AI가 공격에 쓰였다'는 전제와 실제 피해 규모 수치는 어긋나는 지점이 있습니다. OpenAI 공개는 취약점 발견을 다루고, 마이크로소프트 보고서는 악용 시도를 다루며, 실제 침해 피해와 악용코드 공개는 별개의 사건입니다. AI 기여도에 대한 반론도 아직 확인되지 않았습니다.

수출통제 시점 서술 차이와 남은 질문

앤트로픽의 수출통제 관련 시점 서술에는 사소한 차이가 남아 있습니다. 이는 '양날의 검'이라는 총평 자체와 충돌하지는 않습니다. 방어와 공격 양측 사례는 각각 1차 출처 두 개 이상으로 확립돼 있습니다.

다만 AI의 역할이 연구원 활용형에서 자동화형으로 이동하는지는 몇 분기의 관측이 더 필요합니다. 취약점 자동 탐지가 구조 전환인지 단발 사례인지는 향후 공개 사례 축적을 봐야 가려집니다. 이번 보고들은 AI가 공격과 방어 양쪽에서 실제로 쓰이고 있음을 보여준다는 점에서 대체로 사실입니다.