이것이 사이버 보안의 새로운 일상인가?

PHP, GitLab, 인증기관, 클라우드, 패키지 공급망에서 심각한 보안 사고가 잇따르며 취약점 공개와 방어 사이의 시간이 핵심 문제로 떠오름 LLM은 이론적 취약점이나 패치 차이를 실제 공격 코드로 전환하는 속도를 높임. 다만 작동하지 않는 공격 코드를 판별하려면 여전히 전문성이 필요함 PHP2Shell에서는 공개 금지 시한 이전의 정보 유출과 패치 공개가 겹치면서 패치 배포 전 공격 가능성이 문제가 됨. 다만 배포 전에 실제로 작동하는 공격이 있었는지는 논쟁이 있음 이번 사고를 모두 AI 탓으로 돌릴 근거는 없음. 일부는 AI 활용이 확인됐지만, 기존의 소프트웨어 결함과 자격 증명 관리 실패도 중요한 원인임 소스 비공개, 선제적 AI 보안 분석, 표준화된 대응 절차에는 각각 한계와 비용이 있음. AI가 보안을 개선할지는 불확실하며, 소프트웨어와 오픈소스의 변화가 공동체 전체에 이익이 되도록 할 책임이 있음 PHP2Shell: 알려진 결함에서 실제 공격으로 PHP2Shell은 PHP의 원격 코드 실행(RCE) 취약점인 CVE-2026-109618과 CVE-2026-109619를 가리킴 OpenAI의 “Patch the Planet” 프로그램에 참여한 Calif와 Google Cloud 소속 Wiz의 보안팀이 두 취약점을 발견함 두 팀은 GPT-5.6 Sol/Gemini 4 Argon 같은 최첨단 LLM을 취약점 탐색과 공격 코드 제작에 사용함 CVE-2026-109618은 PHP Foundation의 2024년 외부 보안 감사에서도 발견됐지만 수정되지 않은 채 남아 있었음 감사는 Sovereign Tech Agency의 지원을 받음 더 시급한 문제가 있었고 수정안에 합의하지 못했으며, 이론적 문제를 실제 공격으로 연결하는 방법도 찾지 못했음 LLM은 모호한 취약점 설명을 실제 공격으로 구체화하거나, 코드 변경 내역에서 보안 패치를 찾아 역으로 결함과 공격 경로를 추적할 수 있음 취약점 소식에서 정교한 자동 공격까지 걸리는 시간이 주/월 단위에서 시간/분 단위로 줄어든 것으로 보임 이 속도를 고려하면 보안 패치 발표 시점부터는 공격 코드가 공개적으로든 비공개적으로든 유통될 수 있다고 전제하는 보수적인 대응 기준이 필요함 Wiz의 분석은 영향 범위를 인터넷의 70% 이상으로 추산함 영향을 받은 사례에는 Wikimedia Foundation, DeviantArt, 영국 정부와 일본 은행 시스템 상당수, BBC의 ...