AI는 결함을 찾은 것이 아니라 악용법을 만들었다

OpenAI의 조정적 공개(coordinated disclosure) 발표에 따르면, 이 결함 자체는 2024년에 이미 보안 연구 커뮤니티에서 인지된 상태였습니다. AI 모델의 기여는 존재하지 않던 공격 코드를 만드는 단계였으며, 그 작업에 일주일이 채 걸리지 않았다고 밝혔습니다. 결함의 존재와 익스플로잇의 완성은 보안 의미에서 완전히 다른 사건이며, 이번 사례는 후자의 장벽이 무너졌음을 보여줍니다.

'10년'은 보수적 표현, 실제로는 14년 이상

출처: 조사 출처

PHP 재단과 TechCrunch의 보도에 따르면 해당 결함은 PHP 5.4가 출시된 2012년 3월 1일 이후 존재해 왔습니다. 화제가 된 국내 기사 제목의 '10년 묵은'은 오히려 실제 기간보다 짧게 잡은 표현입니다. 언어 식별 사이트 기준 PHP는 전 세계 웹사이트의 약 75%에서 사용되는 것으로 집계되며, 영향 범위가 그만큼 넓어집니다.

네덜란드·핀란드 정부기관 사이트 중단 경보

CERT 유럽연합은 웹사이트 운영자들이 패치 적용 전까지 사이트를 오프라인으로 전환할 필요가 있을 수 있다고 경고했습니다. 연합뉴스가 로이터·월스트리트저널·EPA를 인용해 전한 바에 따르면 네덜란드와 핀란드의 일부 정부기관 사이트가 실제로 중단 조치를 밟았습니다. 다만 개별 기관별 중단 사실은 로이터 원문 접근이 막혀 국별로는 아직 독립 확인되지 않았습니다.

실험실 입증과 실전 해킹의 간극

연구자들의 실증은 결함으로 원격코드실행이 실제로 가능함을 보인 실험실 수준의 입증이며, 이 결함을 이용한 실전 대규모 해킹이 발생했다는 확인은 아직 없습니다. 전제상 'AI가 실제 시스템을 해킹했다'는 해석은 이 간극을 메우지 않는 선에서만 성립합니다. OpenAI 원문 발표 페이지는 캡차 차단으로 직접 열람이 막혀, PHP 재단과 미국 로컬 매체 보도를 통한 간접 확인에 의존한 부분도 남습니다.

6abc 등 매체에 따르면 전 세계 웹 운영자들이 현재 패치 적용에 나서고 있으며, 유럽연합 당국의 후속 권고가 나올 것으로 보입니다. 이번 결함 악용 가능성의 제거가 실제로 완료되는지, 그리고 프론티어 AI가 보안 취약점의 '실전 악용' 단계까지 상시 닿게 되는지는 앞으로 몇 분기의 관측이 더 필요합니다. 헤드라인의 핵심 주장은 원보와 1차 공개 문서에 비춰 대체로 사실로 봤습니다.