인공지능(AI)의 도움으로 40년 가까이 된 프로그래밍 언어 PHP의 오래된 버그에서 심각한 보안 취약점(PHP2Shell)이 발견되었습니다. 과거 단순 충돌 버그로 치부되어 방치되었던 이 오류는 AI의 정밀한 추론 지원을 통해 서버에서 임의 코드를 실행할 수 있는 수준의 위협으로 드러났습니다. 이는 NASA, 위키피디아, 백악관 및 워드프레스(WordPress)/드루팔(Drupal) 기반의 수많은 웹사이트를 위험에 빠뜨릴 수 있었으나, 다행히 공격자가 이를 악용하기 전에 패치가 배포되어 큰 피해는 막을 수 있었습니다.
이번 PHP2Shell 취약점 발견은 AI가 레거시 소프트웨어의 '기술 부채(technical debt)'를 드러내는 강력한 도구가 될 수 있음을 시사합니다. 컬럼비아 대학교(Columbia University) 연구진은 AI 도구의 지원을 받아 단 2주 만에 이 버그를 악용하는 방법을 찾아냈습니다. 이는 메모리 위치와 덮어쓸 비트의 순서를 정밀하게 계산하는 고난도 작업으로, AI는 이 세밀한 추론(inference) 과정을 효과적으로 도왔습니다. 하지만 이러한 발견은 AI 단독으로 이루어진 것이 아니라, 사이버 보안과 PHP에 대한 깊은 전문성을 가진 연구자들의 지식과 결합되었을 때 가능했습니다.
이번 사례는 AI 시대에 접어들면서 소프트웨어 취약점 발견 속도가 기하급수적으로 빨라질 수 있음을 경고합니다. 공격자가 AI를 활용해 취약점을 더 쉽게 찾아낼 수 있게 되면, 방어 측은 훨씬 더 큰 부담을 안게 될 것입니다. 특히 PHP와 같이 널리 사용되지만 뚜렷한 수익원 없이 운영되는 오픈소스(open-source) 프로젝트의 경우, 발견된 취약점을 수정하고 모든 공격 경로를 막으면서 기존 기능을 유지하는 데 막대한 시간과 자원이 소요됩니다. 이번 PHP2Shell 패치에도 4명의 엔지니어가 2개월을 투입했습니다. 따라서 방어 측에서도 최첨단 보안 AI 모델에 대한 접근을 확대하고, 형식 검증(formal verification)과 같은 자동화된 패치 생성 및 검증 기술에 대한 투자를 늘려야 할 필요성이 커지고 있습니다. 사용자들은 보안 업데이트를 미루지 않고 즉시 적용하는 것이 중요합니다.