지난 두 달 동안 우리는 메인테이너, 연구원, 보안 제공업체들로 구성된 연합을 이끌며, 웹사이트와 웹 애플리케이션 구동에 사용되는 오픈 소스 프로그래밍 언어인 PHP의 중요한 취약점을 해결했습니다. Calif는 GPT‑5.6 Sol을 사용하여 중요한 결함을 발견했으며, 이는 우리의 Patch the Planet(새 창에서 열기) 이니셔티브의 일환이며, Wiz 역시 독립적으로 두 취약점을 발견하고 보고했습니다. PHP의 메인테이너들이 수정 및 릴리스를 주도했고, 우리 팀과 Wiz, Cloudflare 등 파트너들이 연구, 기술 지원, 조율에 기여하여 공개 전에 방어 대비를 준비했습니다.
PHP를 사용하는 조직에게 현재 최우선 과제는 수정 사항을 적용하는 것입니다. 우리는 PHP 버전 체커(새 창에서 열기) 를 공유하고 있으며, 운영자가 잠재적으로 취약한 PHP 버전을 식별하고 PHP 및 해당 제공업체의 안내와 함께 어떤 업데이트를 적용해야 하는지 판단할 수 있도록 돕는 함께 제공되는 Codex 스킬도 곧 출시할 예정입니다.
이 결함들의 심각성과 PHP의 광범위한 사용을 고려할 때, 우리는 이를 최근 기억 중 가장 큰 영향을 미친 보안 문제 중 하나로 간주합니다. 이는 AI가 인터넷 규모의 영향을 미치는 보안 결함을 발견할 수 있음을 보여주지만, 동일한 역량이 공격자가 공격 도구와 익스플로잇을 신속히 개발하는 데도 사용될 수 있습니다.
우리가 아는 한, 최신(frontier) AI가 공격자보다 먼저 이 취약점들을 발견했으며, 이는 메인테이너와 보안 제공업체가 공개 전에 수정 사항과 방어책을 준비할 수 있는 수호자의 시간(Defender's Window) 을 열어주었습니다.
더 많은 방어자들이 이러한 기능을 활용할 수 있도록, 우리는 보조금 지원 10억 달러를 약정했습니다 Daybreak 접근 권한 통해 Daybreak for Frontline Defenders를 통해 약속했습니다.
이 버그들이 중요하긴 하지만, 이미 발견하여 수정 작업 중인 여러 중요한 취약점 중 일부이며, 앞으로 몇 달 동안 유사한 발견이 급증할 것으로 예상합니다. 지금까지의 경험을 바탕으로, 널리 사용되는 소프트웨어의 중요한 취약점에 대응하기 위한 AI 시대에 적합한 제안 접근법을 공유하며, 보안 커뮤니티가 이 프레임워크를 개선하는 데 도움을 요청합니다. 이는 우리의 모델, 보안 전문성, 메인테이너를 결합하여 발견된 사항이 실제 방어로 이어지도록 돕고, AI 역량이 발전함에 따라 확장 가능한 대응 체계를 구축합니다.
글로벌 대응 조율
수정 사항을 실제로 적용하려면 이전 릴리스에 맞게 조정하고, 제공업체 완화 조치를 준비하며, 여러 조직에 걸친 시스템을 업데이트해야 할 수 있습니다. 반복 가능한 프로세스는 더 많은 취약점이 발견될 때 해당 팀들이 신속히 대응하는 데 도움이 됩니다.
Patch the Planet을 통해 우리는 보안 전문성과 모델 접근 권한을 제공하여 PHP 대응을 지원했으며, 메인테이너 및 연구 파트너들과 협력하여 수정 사항을 테스트하고 안내 자료를 준비했습니다. 또한 영향을 받는 시스템에 대한 방어를 위해 인프라 제공업체들과 조율하고, 정부 사이버 기관과 협력하여 안내 자료가 중요 조직에 전달되도록 했습니다. 이는 메인테이너 주도의 대응을 지원하고 다른 수호자들이 대비하는 데 도움이 되었습니다.
일부 발견 사항의 경우, 연구원들이 소프트웨어 메인테이너와 직접 협력하여 문제를 조사하고 수정 사항을 개발할 수 있습니다. 다른 경우에는 많은 제품에 영향을 미치거나, 배포자와 서비스 제공업체가 업데이트와 방어책을 준비하는 데 시간이 필요하기 때문에(최신 역량이 널리 이용 가능한 역량보다 크게 앞서지 않는다면 시간이 부족할 수 있습니다) 더 넓은 대응이 필요합니다. 이러한 경우, 제안된 프레임워크는 메인테이너가 누가 관련되어야 하는지 식별하고 작업을 조율하는 데 도움이 될 수 있습니다. 대응은 다섯 단계로 이루어질 수 있습니다:
업스트림 취약점을 검증하고 수정합니다. 메인테이너, 연구원, 필수 기술 파트너가 발견 사항을 확인하고, 영향을 평가하며, 수정 사항을 개발하고 테스트합니다. 이 과정에는 최신 모델을 활용한 적대적 테스트가 포함되어 패치를 우회하는 방법과 취약점의 관련 변형을 찾아냅니다.
영향을 받는 조직들이 대응할 시간을 제공합니다. 우리는 어떤 조직이 방어 대비를 위해 사전 정보가 필요한지 고려하기 위한 프레임워크를 제안하며, 메인테이너가 누구를 포함시킬지 결정합니다. 우리는 아웃리치, 정보 공유 협정, 팀 간 조율을 지원합니다. 배포자는 이전 릴리스용으로 수정 사항을 조정하고, 호스팅 제공업체는 완화 조치를 테스트하며, 보안 제공업체는 웹 애플리케이션 방화벽(WAF) 규칙을 포함한 탐지 또는 차단 조치를 준비할 수 있습니다.
중요 시스템 보호를 돕기 위해 정부 파트너와 조율합니다. 정부 기관은 더 넓은 대응을 조율하고 보안 안내가 중요 인프라 및 기타 필수 서비스를 담당하는 조직에 전달되도록 하는 데 필수적인 역할을 합니다. PHP의 경우, 우리는 파트너들과 협력하여 백악관의 Super Intelligence Force, 국가 사이버 국장실(ONCD), 사이버보안 및 인프라 보안국(CISA)을 포함한 미국 정부의 여러 부처 및 국제 파트너들과 접촉하여 그 노력을 지원했습니다.
영향을 받는 제품 전반에 걸쳐 업데이트를 준비합니다. 수정 사항, 가이던스, 공개 계획이 안정화되면 유지보수 담당자는 추가 배포자, 호스팅 및 서비스 제공업체, 대응 팀, 운영자를 참여시켜 업데이트를 준비하고 커버리지의 공백을 해소할 수 있습니다.
패치가 제공되면 가이던스를 게시하고 배포를 지원합니다. 공개 가이던스는 사람들이 자신의 노출 여부를 평가하고, 신뢰할 수 있는 업데이트나 임시 완화 조치를 찾으며, 수정 사항이 실행 중인지 확인하는 데 도움이 됩니다. 운영자가 업데이트를 배포하고 도움이 필요한 부분을 보고함에 따라 대응은 계속됩니다.
제안된 프레임워크는 조직의 보호 역할, 즉 자체 시스템과 고객 보호, 조치에 필요한 시간, 민감한 정보를 다루는 능력을 고려합니다. 동일한 기준이 유사한 조직에 적용되며, 공개에 앞서 누구를 참여시킬지는 유지보수 담당자가 결정합니다.
각 참여자는 침해 지표가 포함된 네트워크 로그부터 더 민감한 작업용 개념 증명 익스플로잇까지, 보호 업무를 수행하는 데 필요한 정보를 받습니다. 제한된 세부 정보조차 취약점을 드러낼 수 있으므로, 우리는 이를 공유하는 위험과 그로 인해 가능해지는 보호를 저울질합니다.
이 프레임워크를 따르는 팀은 유지보수 담당자와 협력하여 방어자에게 준비할 시간을 제공하고, 실제 야생에서의 악용, 유출, 폭로성 공개 패치, 지연된 수정으로 인한 사용자 위험 증가가 있을 경우 타임라인을 재평가합니다.
Patch the Planet 웹사이트(opens in a new window) 는 공개된 취약점 정보와 가이던스를 한데 모아 운영자가 영향을 받는 시스템을 식별하고, 올바른 업데이트를 찾고, 업데이트된 소프트웨어가 제대로 실행되는지 확인하도록 돕습니다. PHP의 경우 유지보수 담당자의 공식 패치 및 업그레이드 지침과 파트너들의 기술 연구를 안내합니다. 이 가이던스는 임시 완화 조치, 제공업체나 전문가를 참여시켜야 할 시점, 백업 및 복구도 다룹니다. 임시 보호 조치는 위험을 줄일 수 있지만, 그 한계와 운영상의 트레이드오프를 명확히 알릴 것입니다.
운영자는 CISA의 우선순위 지정 및 수정 관련 가이던스(opens in a new window) 를 사용하여 노출, 악용, 잠재적 영향을 바탕으로 얼마나 빨리 조치해야 하는지 평가할 수 있습니다. 이는 긴급 패치, 즉각적인 완화 조치 또는 계획된 업데이트를 의미할 수 있으며, 필요한 경우 시스템이 이미 침해되었는지 평가하기 위한 포렌식 분류를 함께 수행합니다. 조건이 변함에 따라 우선순위를 재평가하고, 지속적인 수정으로 이어지는 명확한 경로를 마련해야 합니다.
유지보수 담당자에게 대응할 역량과 자원 제공
글로벌 조정은 소프트웨어를 유지보수하는 사람들에 달려 있습니다. 많은 프로젝트는 일상적인 개발과 병행하여 보안 보고서를 검토하는 소규모 팀이 운영합니다. 이러한 팀은 새로운 문제와 중복 항목을 구분하고, 영향을 평가하며, 지원되는 릴리스 전반에 걸쳐 수정 사항을 테스트하는 데 도움이 필요합니다. 우리는 자금 지원, 강력한 모델에 대한 접근, 직접적인 엔지니어링 지원으로 그 작업을 지원합니다.
강력한 AI 기능이 업계 전반에서 발전하고 있으며, 우리는 AI가 방어자가 취약점을 찾고, 시스템을 모니터링하고, 위협에 대응하는 데 점점 더 큰 역할을 할 것으로 기대합니다. 우리는 방어자가 이러한 기능을 활용할 수 있도록 모델, 도구, 파트너십에 투자하고 있습니다.
우리의 투자에는 Codex for OSS 를 통한 모든 유지보수 담당자 대상 구독 제공과 Rust Foundation(opens in a new window) 등 프로젝트에 대한 유지보수 담당자 및 기술 작업을 위한 직접 후원이 포함됩니다. 각 프로젝트는 자체 우선순위를 정합니다. 재사용 가능한 테스트와 보안 워크플로는 향후 발견되는 사항을 처리하는 데 필요한 노력을 줄일 수 있습니다. 오픈소스 프로젝트는 직접적인 지원을 받기 위해 Patch the Planet(opens in a new window) 에 신청할 수 있습니다.
또한 오용 가능성을 줄이기 위해 Daybreak를 위한 추가 차단 분류기를 조정하고 있습니다. 여기에는 어려운 트레이드오프가 수반됩니다: 악용을 방지하기 위한 안전장치가 정당한 보안 작업까지 차단할 수 있습니다. 강력한 모델에 대한 폭넓은 접근과 오용에 대한 효과적인 보호는 모두 중요합니다. 우리의 목표는 유해한 사용을 제한하면서 방어자가 취약점을 찾고 수정하는 데 필요한 기능을 보존하는 것입니다. 기능이 발전하고 이러한 도구가 사용되는 방식에서 배우면서 그 균형을 계속 다듬어 나갈 것입니다.
더 안전한 소프트웨어 기반 구축
모델이 더 강력해짐에 따라 그 기회는 개별 취약점을 찾고 수정하는 것을 넘어 확장됩니다. 우리는 엔지니어가 처음부터 더 안전한 소프트웨어를 구축하도록 돕고자 합니다. 널리 사용되는 컴포넌트의 개선은 많은 제품과 서비스 전반에서 버그를 예방하거나 그 영향을 제한할 수 있습니다.
AI는 엔지니어가 기존 코드를 이해하고, 변경 사항을 준비하고, 테스트를 개발하는 데 도움을 줄 수 있으며, 유지보수 담당자와 보안 전문가는 그러한 변경 사항이 사용자가 의존하는 동작을 보존하는지 검증합니다. 우리는 여러 영역에서 기회를 보고 있습니다:
처음부터 안전한 코드 작성. 코딩 모델은 개발자가 더 안전한 기본값을 선택하고, 보안 라이브러리를 올바르게 사용하며, 작성 중에 위험한 패턴을 잡아내도록 도울 수 있습니다. 개발 과정에서 취약점을 예방하면 유지보수 담당자와 사용자의 긴급 수정이 줄어듭니다.
메모리 안전 소프트웨어. 핵심 컴포넌트를 메모리 안전 언어로 전환하면 흔한 메모리 오류 클래스를 제거할 수 있습니다. AI는 동작과 호환성을 확인하는 테스트 및 전문가 검토와 함께 마이그레이션을 지원할 수 있습니다.
형식적 검증. 수학적 증명을 통해 핵심 구성 요소가 명시된 가정 하에 지정된 보안 속성을 충족함을 보일 수 있습니다. 이러한 방법을 널리 사용되는 구성 요소에 적용하면 이들에 의존하는 서비스와 중요 인프라 전반에서 특정 클래스의 취약성을 배제하는 데 도움이 될 수 있습니다.
更强的 격리. 시스템은 아직 발견되거나 수정되지 않은 취약성으로부터의 보호가 필요합니다. 신뢰할 수 없는 파일, 이미지 또는 미디어를 처리하는 소프트웨어를 엄격히 제한된 샌드박스에서 실행하면 침해되었을 때 피해를 제한할 수 있습니다. AI는 엔지니어가 널리 사용되는 샌드박싱 기술을 테스트하고 강화하는 데 도움을 주어 많은 애플리케이션 전반의 보호를 개선할 수 있습니다.
이 접근 방식 개선에 도와주세요
우리는 유지 관리자, 연구자, 대응팀, 제공자 및 운영자가 이 접근 방식이 실현 가능하도록 도울 수 있도록 이를 공유합니다. 이것이 어디에서 도움이 될지, 어디에서 지연이나 부담을 더할 수 있는지, 그리고 우리가 무엇을 놓쳤는지 이해하고 싶습니다. 과거 취약성 공개 사례가 특히 유용할 것입니다.
우리는 특히 다음에 관심이 있습니다:
공개 기간. 유지 관리자, 운영자 및 방어자가 신뢰할 수 있는 수정 사항을 준비하고 배포하는 데 얼마나 많은 시간이 필요합니까? 특히 일부 사용자가 다른 사용자보다 더 빨리 보호될 수 있는 경우, 어떤 근거가 더 이른 공개를 촉발해야 합니까?
긴급 패칭. 정부나 다른 운영자가 관리 권한을 잃은 후 자신이 소유하거나 관리를 승인받은 시스템에 취약성을 사용하여 패치해야 하는 때는 언제입니까(있다면)? 어떤 안전장치가 적용되어야 합니까? 우리는 알려진 취약성에 대한 인터넷 전역의 상시 스캔을 수행하고, 취약성이 발견되면 사이트 소유자에게 알리거나 시스템을 패치하는 최종 상태를 상상할 수 있습니다.
사전 통지. 유용한 보호 조치를 취하기 위해 사전 경고가 필요한 사람은 누구이며, 우리가 놓칠 수 있는 방어자는 누구입니까? 단계적 통지가 더 넓은 그룹에 한 번에 통지하는 것보다 더 효과적인 경우는 언제이며, 커버리지와 유출 위험 사이에서 어떻게 저울질해야 합니까?
기본적으로 안전한 소프트웨어 패키지. 업스트림 수정이 진행 중인 동안 다운스트림 패키지의 취약성을 식별하고 수정하도록 어떻게 도울 수 있으며, 보안 업데이트를 더 이상 받지 않는 구버전에 수정 사항을 백포트하려면 어떻게 해야 합니까? 시의적절한 업그레이드가 불가능할 때 이러한 패키지를 신뢰할 수 있는 선택지로 만들려면 어떤 테스트와 유지 관리가 필요합니까?
또한 이 접근 방식을 검토하고, 가정에 이의를 제기하며, 격차를 파악할 수 있는 독립적인 보안 전문가에 대한 추천도 환영합니다. 여러분의 의견은 대응을 다듬고 지원의 우선순위를 정하는 데 도움이 될 것입니다. 여기에서 피드백을 공유해 주세요(새 창에서 열립니다).