최근 GitHub 저장소에 SQLite 데이터베이스 관련 심각한 취약점(CVE)들이 대거 보고되어 보안 커뮤니티에 비상이 걸렸습니다. 이 취약점들은 미국 국립 취약점 데이터베이스(NVD)와 CISA(사이버 보안 및 인프라 보안국)에 의해 심각한 수준으로 분류되었고, 일부는 최고 심각도 10.0을 부여받기도 했습니다. 하지만 JFrog 보안 연구팀의 심층 조사 결과, 이 CVE 대부분이 인공지능(AI)이 만들어낸 허위 정보, 즉 '환각(hallucination)'으로 드러나 충격을 주고 있습니다.
JFrog 연구팀은 보고된 취약점들을 검증하기 위해 SQLite 공식 저장소의 해당 버전을 직접 확인하고, 격리된 환경에서 코드를 컴파일한 뒤 PoC(개념 증명)를 실행했습니다. 그 결과, 보고서에 언급된 함수가 해당 버전에 존재하지 않거나, 인용된 코드 라인이 취약점과 전혀 관련이 없었으며, PoC조차 작동하지 않는 경우가 대부분이었습니다. 예를 들어, CVE-2026-51302는 `exprComputeOperands()` 함수에서 메모리 오류가 발생한다고 주장했지만, 이 함수는 해당 SQLite 버전에 존재하지 않았습니다. 또한, `sqlite3ReleaseTempReg()` 함수가 힙 메모리 할당 해제와 관련이 없으므로 UAF(Use-After-Free) 취약점이 발생할 수 없다는 사실도 밝혀졌습니다. 심지어 일부 취약점은 존재하지 않는 패치 버전을 언급하거나, 유효하지 않은 SQL 구문을 PoC로 제시하기도 했습니다.
이 사건은 AI가 생성한 정보의 신뢰성 문제를 여실히 보여줍니다. AI가 그럴듯하게 꾸며낸 허위 정보가 실제 보안 시스템에 등록되고 높은 심각도를 부여받으면서, 보안 전문가들의 시간과 자원을 낭비하고 불필요한 혼란을 야기했습니다. 이는 AI 기술이 발전함에 따라 정보의 진위 여부를 판단하는 것이 더욱 중요해지고 있음을 시사합니다. 특히 보안과 같이 민감하고 중요한 분야에서는 AI 생성 콘텐츠에 대한 엄격한 검증 절차와 도구의 필요성이 더욱 강조될 것입니다. 앞으로는 AI가 생성한 정보에 대한 신뢰성 필터링 기술이나, AI가 만들어낸 가짜 취약점을 탐지하는 새로운 보안 솔루션의 등장이 중요해질 것으로 예상됩니다.