AI 버그 대재앙이 공식적으로 시작되었습니다

하이라이트

• 트렌드마이크로의 제로데이 이니셔티브가 리눅스 커널 취약점 보고서 여러 건을 공개 메일링 리스트로 잘못 발송했다.

• 유출된 버그 중 두 건은 CVSS 심각도 10점 만점에 9.0점으로 평가되었으며 원격 코드 실행으로 이어질 수 있다.

• 앤스로픽의 미토스 모델은 4월에만 셰어포인트에서 치명적인 버그 90개와 중요 버그 141개를 찾아냈다.

• 구글 크롬 149 및 150 버전에서는 이전 크롬 23개 버전을 합친 것보다 많은 1,072개의 보안 버그가 수정되었다.

• 영국 국가사이버안보센터(NCSC)는 수년간의 기술 부채로 인해 전체 스택에 걸쳐 긴급 업데이트가 급증할 것이라고 경고했다.

타임라인

1. 00:00 - 04:09

   리눅스 커널 취약점 보고서 오발송 사건

   패치가 나오지 않은 상태에서 취약점 보고서가 실수로 공개 리스트에 유출되는 사고가 발생했다. SMB 서버는 외부 데이터를 직접 처리하기 때문에 인증되지 않은 사용자도 접근할 수 있어 위험성이 크다. 리눅스 커널 메이너들은 이미 AI 도구로 인해 취약점 보고 건수가 폭증하는 상황을 어느 정도 예상하고 있었다.

   • 트렌드마이크로의 제로데이 이니셔티브가 비공개 보안 리스트 대신 공개 리눅스 커널 메일링 리스트로 취약점 보고서를 보냈다.
   • 가장 심각한 두 가지 취약점은 커널의 SMB 코드에 있으며 CVSS 심각도 9.0으로 평가되었다.
   • 정수 언더플로와 KSMBD 경쟁 상태 문제로 인해 네트워크를 통한 원격 코드 실행 위험이 존재한다.
2. 04:09 - 07:27

   취약점 폭증과 '블랙 오토베르'의 도래

   다양한 보안 이슈가 겹치면서 업계에서는 이 시기를 '블랙 오토베르'라고 부르기 시작했다. 과거에는 버그를 찾는 과정이 느리고 비용이 많이 들었으나, 이제는 AI가 대규모로 취약점을 찾아내면서 분류와 패치 배포가 새로운 병목 현상으로 자리 잡았다. 기업들이 수정 사항을 배포하는 속도보다 AI가 버그를 찾아내는 속도가 더 빠르다.

   • PHP 투셸 취약점을 비롯해 eMudra 인증서, 깃랩, Node.js 등 다양한 플랫폼에서 심각한 보안 이슈가 발생했다.
   • 이번 사태는 실제 공격의 물결이라기보다는 AI가 촉발한 대규모 취약점 공개의 물결에 가깝다.
   • 구글 크롬과 마이크로소프트 셰어포인트 등 주요 소프트웨어에서 기존을 압도하는 수의 버그가 발견되고 수정되었다.
3. 07:27 - 08:50

   방어 전략과 상시 패치 체계의 필요성

   방어자들도 동일한 AI 도구를 활용해 보안 감사를 수행하고 있으며, 성숙한 제품은 시간이 지나면 버그 발견 빈도가 안정화될 수 있다. 실질적인 대응을 위해 기업들은 업데이트를 일상적인 자동화 프로세스로 정착시켜야 한다. 서버 상태를 정직하게 점검하고 즉각적인 패치를 적용하는 것이 영구적인 비상사태를 대비하는 핵심 방안이다.

   • 성숙한 소프트웨어의 경우 AI가 찾을 수 있는 대부분의 버그가 수정되면 새로운 발견 건수가 줄어들기 시작한다.
   • 패치를 분기별 작업이 아니라 인터넷에 노출된 항목부터 시작하는 상시 실행 작업으로 대해야 한다.
   • 사용하지 않는 모듈을 언로드하고 업데이트를 자동화하며 오래된 시스템은 교체할 계획을 세워야 한다.