지난 두 달 동안 우리는 웹사이트와 웹 애플리케이션 구동에 사용되는 오픈소스 프로그래밍 언어인 PHP의 중대한 취약점을 해결하기 위해 유지보수자, 연구자, 보안 제공업체로 구성된 연합을 이끌었습니다. Calif는 우리의 일환으로 GPT‑5.6 Sol을 사용하여 중대한 결함을 식별했습니다. Patch the Planet(새 창에서 열림) 이니셔티브의 일환으로 GPT‑5.6 Sol을 사용해 중대한 결함을 식별했으며, Wiz도 독자적으로 두 취약점을 발견하고 보고했습니다. PHP의 유지보수자들이 수정과 릴리스를 주도했고, 우리 팀과 Wiz, Cloudflare 등 파트너들이 취약점 공개 전에 방어 대비를 마련할 수 있도록 연구, 기술 지원, 조율에 기여했습니다.
PHP를 사용하는 조직에게 지금 우선순위는 수정 사항을 적용하는 것입니다. 우리는 운영자가 잠재적으로 취약한 PHP 버전을 식별하고, PHP 및 해당 제공업체의 안내와 함께 어떤 업데이트를 적용해야 하는지 판단할 수 있도록 돕는 PHP 버전 체커를 Codex 스킬(새 창에서 열림) 운영자가 잠재적으로 취약한 PHP 버전을 식별하고, PHP 측과 해당 공급자의 안내와 함께 어떤 업데이트가 적용되는지 판단할 수 있도록 지원합니다.
이번 결함의 심각성과 PHP의 광범위한 사용을 고려할 때, 우리는 이를 최근 기억 속에서 가장 영향력 큰 보안 문제 중 하나로 간주합니다. 이는 AI가 인터넷 규모의 영향을 미치는 보안 결함을 발견할 수 있음을 보여주지만, 동일한 역량이 공격자가 신속하게 공격 도구와 익스플로잇을 개발하는 데도 활용될 수 있습니다.
우리가 아는 한, 프런티어 AI가 공격자보다 먼저 이 취약점들을 발견했으며, 이는 유지보수자와 보안 제공업체가 취약점 공개 전에 수정과 방어 대비를 마련할 수 있는 디펜더스 윈도(Defender's Window) 를 열어주었습니다.
더 많은 방어자들이 이러한 기능을 활용할 수 있도록 우리는 보조금 지원 10억 달러를 약속했습니다 Daybreak for Frontline Defenders 를 통해 보조 지원 최전선 방어자를 위한 Daybreak를 제공하기로 약속했습니다.
이 버그들은 중요하지만, 우리가 이미 발견하고 수정 작업을 진행 중인 여러 중대한 취약점 중 일부에 불과하며, 앞으로 몇 달 동안 유사한 발견이 급격히 증가할 것으로 예상합니다. 지금까지의 경험을 바탕으로, 널리 사용되는 소프트웨어의 중대한 취약점에 대응하기 위한 AI 시대에 적합한 제안 접근법을 공유하며, 보안 커뮤니티가 이 프레임워크를 개선하는 데 도움을 요청합니다. 이는 우리 모델, 보안 전문성, 유지보수자들을 결합하여 발견된 사항을 방어 체계로 전환하고, AI 역량이 발전함에 따라 규모를 확장할 수 있는 대응 체계를 구축하는 데 도움을 줍니다.
글로벌 대응 조율하기
수정 사항을 실제로 적용하려면 구버전 릴리스에 맞게 조정하고, 제공업체 완화 조치를 준비하며, 여러 조직에 걸쳐 시스템을 업데이트해야 할 수 있습니다. 반복 가능한 프로세스는 더 많은 취약점이 발견될 때 해당 팀들이 신속하게 대응하는 데 도움이 됩니다.
Patch the Planet을 통해 우리는 PHP 대응을 지원하기 위해 보안 전문성과 모델 액세스를 제공했으며, 유지보수자 및 연구 파트너들과 협력하여 수정 사항을 테스트하고 안내 자료를 준비했습니다. 또한 인프라 제공업체들과 협조하여 영향을 받는 시스템에 대한 방어 조치를 마련하고, 정부 사이버 기관과 협의하여 안내 자료가 주요 조직에 도달하도록 했습니다. 이는 유지보수자가 주도하는 대응을 지원하고 다른 방어자들의 대비를 도왔습니다.
일부 발견 사항은 연구자가 소프트웨어 유지보수자와 직접 협력하여 문제를 조사하고 수정 사항을 개발할 수 있습니다. 다른 경우에는 많은 제품에 영향을 미치거나, 배포자와 서비스 제공업체가 업데이트와 방어 대비를 준비하는 데 시간이 필요하기 때문에(프런티어 역량이 널리 이용 가능한 역량보다 크게 앞서지 않는다면 시간이 부족할 수 있음) 더 광범위한 대응이 필요합니다. 그런 경우, 제안된 프레임워크는 유지보수자가 누가 관련되어야 하는지 식별하고 작업을 조율하는 데 도움을 줄 수 있습니다. 대응은 다섯 단계로 이루어질 수 있습니다:
업스트림 취약점을 검증하고 수정합니다. 유지보수자, 연구자, 핵심 기술 파트너가 발견 사항을 확인하고, 그 영향을 평가하며, 수정 사항을 개발하고 테스트합니다. 이 과정에는 프런티어 모델을 활용한 적대적 테스트가 포함되어, 패치를 우회하는 방법과 해당 취약점의 관련 변형을 찾아냅니다.
영향을 받는 조직이 대응할 시간을 제공합니다. 우리는 어떤 조직이 방어 대비를 위해 사전 정보를 필요로 하는지 고려하는 프레임워크를 제안하며, 누구를 포함시킬지는 유지보수자가 결정합니다. 우리는 아웃리치, 정보 공유 계약, 팀 간 조율을 지원합니다. 배포자는 구버전 릴리스에 맞게 수정 사항을 조정할 수 있고, 호스팅 제공업체는 완화 조치를 테스트할 수 있으며, 보안 제공업체는 웹 애플리케이션 방화벽(WAF) 규칙을 포함한 탐지 또는 예방 조치를 준비할 수 있습니다.
핵심 시스템 보호를 위해 정부 파트너와 협력합니다. 정부 기관은 더 광범위한 대응을 조율하고 보안 안내 자료가 핵심 인프라 및 기타 필수 서비스를 담당하는 조직에 도달하도록 돕는 데 필수적인 역할을 합니다. PHP 사례에서 우리는 파트너들과 협력하여 백악관의 Super Intelligence Force, 국가 사이버 디렉터실(ONCD), 사이버보안 및 인프라 보안국(CISA)을 포함한 미국 정부의 여러 부처, 그리고 국제 파트너들과 협의하여 해당 노력을 지원했습니다.
영향을 받는 제품 전반에 걸쳐 업데이트를 준비하십시오. 수정 사항, 가이던스 및 공개 계획이 안정화되면, 유지 관리자는 추가 배포자, 호스팅 및 서비스 제공업체, 대응 팀, 운영자를 참여시켜 업데이트를 준비하고 대상 범위의 공백을 해결할 수 있습니다.
패치가 제공되면 안내를 게시하고 배포를 지원하십시오. 공개 가이던스는 사람들이 자신의 노출 여부를 평가하고, 권위 있는 최신 정보나 임시 완화 조치를 찾으며, 수정 사항이 적용되어 실행 중인지 확인하는 데 도움을 줍니다. 운영자들이 업데이트를 배포하고 도움이 필요한 부분을 보고하는 동안 대응은 계속됩니다.
제안된 프레임워크는 조직의 보호 역할(자체 시스템과 고객 보호 포함), 조치를 취하는 데 필요한 시간, 민감한 정보를 처리할 수 있는 능력을 고려합니다. 동일한 기준이 유사한 조직에도 적용되며, 공개 전에 누구를 참여시킬지는 유지보수자가 결정합니다.
각 참가자는 침해 지표가 포함된 네트워크 로그부터 더 민감한 실증 개념 익스플로잇에 이르기까지 자신의 보호 작업을 수행하는 데 필요한 정보를 받습니다. 제한된 세부 정보만으로도 취약점을 드러낼 수 있으므로, 우리는 이러한 정보를 공유함으로써 발생하는 위험과 그것이 가능하게 하는 보호 효과를 저울질합니다.
이 프레임워크를 따르는 팀은 유지 관리자와 협력하여 방어자들이 준비할 시간을 갖도록 하고, 실제 야생에서의 악용, 유출, 폭로성 공개 패치, 또는 remediation이 지연됨으로 인해 사용자에게 위험이 증가하는 상황이 발생하면 타임라인을 재평가하게 됩니다.
The Patch the Planet 웹사이트(새 창에서 열림) 는 공개된 정보와 지침을 한데 모아 운영자가 영향받은 시스템을 식별하고, 올바른 업데이트를 찾고, 업데이트된 소프트웨어가 정상적으로 실행되는지 확인하도록 돕습니다. PHP의 경우 유지관리자의 공식 패치 및 업그레이드 지침과 파트너들의 기술 연구를 안내합니다. 이 지침은 임시 완화 조치, 제공업체나 전문가를 언제 섭외해야 하는지, 백업 및 복구도 다룹니다. 임시 보호 조치는 위험을 줄일 수 있지만, 그 한계와 운영상의 트레이드오프를 명확히 밝힐 것입니다.
운영자는 CISA의 우선순위 지정 및 복구 지침(새 창에서 열림) 을 활용하여 노출도, 악용 여부, 잠재적 영향을 기반으로 얼마나 신속히 대응할지 판단할 수 있습니다. 이는 긴급 패치, 즉각적인 완화 조치 또는 계획된 업데이트를 의미할 수 있으며, 필요한 경우 포렌식 트리아지를 병행하여 시스템이 이미 침해되었는지 평가할 수 있습니다. 상황이 변함에 따라 우선순위를 재평가하고, 지속적인 복구를 위한 명확한 경로를 마련해야 합니다.
유지관리자에게 대응할 수 있는 역량과 자원 제공
글로벌 조율은 소프트웨어를 유지관리하는 사람들에게 달려 있습니다. 많은 프로젝트는 소수의 팀이 일상적인 개발과 병행하여 보안 보고서를 검토하는 방식으로 운영됩니다. 이러한 팀들은 새로운 문제를 중복 항목과 구분하고, 영향을 평가하고, 지원되는 릴리스 전반에서 수정 사항을 테스트하는 데 도움이 필요합니다. 우리는 자금 지원, 고성능 모델 접근, 실질적인 엔지니어링 지원으로 이러한 작업을 뒷받침합니다.
강력한 AI 역량이 업계 전반에서 발전하고 있으며, 우리는 AI가 방어자가 취약점을 발견하고, 시스템을 모니터링하고, 위협에 대응하는 데 점점 큰 역할을 하리라 기대합니다. 우리는 방어자가 이러한 역량을 활용할 수 있도록 모델, 도구, 파트너십에 투자하고 있습니다.
우리의 투자에는 다음을 통한 모든 유지관리자 대상 구독 제공이 포함됩니다: Codex for OSS 그리고 유지관리자와 기술 작업을 위한 Rust Foundation(새 창에서 열림) 과 같은 프로젝트에 대한 직접 후원. 각 프로젝트는 자체적으로 우선순위를 정합니다. 재사용 가능한 테스트와 보안 워크플로는 향후 발견되는 문제를 처리하는 데 필요한 노력을 줄일 수 있습니다. 오픈소스 프로젝트는 실질적인 지원을 받기 위해 Patch the Planet에 신청(새 창에서 열림) 할 수 있습니다.
또한 오남용 가능성을 줄이기 위해 Daybreak를 위한 추가 차단 분류기를 조정하고 있습니다. 여기에는 어려운 트레이드오프가 수반됩니다: 악용을 방지하기 위한 안전장치가 정당한 보안 작업까지 차단할 수도 있습니다. 고성능 모델에 대한 폭넓은 접근과 효과적인 오남용 방지 모두가 중요합니다. 우리의 목표는 유해한 사용을 제한하면서 방어자가 취약점을 발견하고 수정하는 데 필요한 역량을 보존하는 것입니다. 역량이 발전하고 이러한 도구의 사용 방식을 학습함에 따라 그 균형을 지속적으로 다듬어 나갈 것입니다.
더 안전한 소프트웨어 기반 구축
모델이 더 강력해짐에 따라 그 기회는 개별 취약점의 발견과 수정을 넘어 확장됩니다. 우리는 엔지니어가 처음부터 더 안전한 소프트웨어를 구축하도록 돕고자 합니다. 널리 사용되는 컴포넌트의 개선은 많은 제품과 서비스 전반에서 버그를 예방하거나 그 영향을 제한할 수 있습니다.
AI는 엔지니어가 기존 코드를 이해하고, 변경 사항을 준비하고, 테스트를 개발하는 데 도움을 줄 수 있으며, 유지관리자와 보안 전문가는 해당 변경 사항이 사용자가 의존하는 동작을 보존하는지 검증합니다. 우리는 여러 분야에서 기회를 보고 있습니다:
처음부터 안전한 코드 작성. 코딩 모델은 개발자가 더 안전한 기본값을 선택하고, 보안 라이브러리를 올바르게 사용하며, 작성 중에 위험한 패턴을 잡아내도록 도울 수 있습니다. 개발 단계에서 취약점을 예방하면 유지관리자와 사용자의 긴급 수정 작업이 줄어듭니다.
메모리 안전 소프트웨어. 핵심 컴포넌트를 메모리 안전 언어로 전환하면 흔한 클래스의 메모리 오류를 제거할 수 있습니다. AI는 마이그레이션을 지원할 수 있으며, 동작과 호환성을 확인하기 위한 테스트와 전문가 검토가 뒷받침합니다.
형식적 검증. 수학적 증명을 통해 중요 구성요소가 명시된 가정 하에 지정된 보안 속성을 충족함을 보일 수 있습니다. 이러한 방법을 널리 사용되는 구성요소에 적용하면 이들에 의존하는 서비스와 중요 인프라 전반에서 특정 클래스의 취약점을 배제하는 데 도움이 될 수 있습니다.
더 강한 격리. 시스템은 아직 발견되거나 수정되지 않은 취약점으로부터의 보호가 필요합니다. 신뢰할 수 없는 파일, 이미지 또는 미디어를 처리하는 소프트웨어를 엄격히 제한된 샌드박스에서 실행하면 침해되었을 때 피해를 제한할 수 있습니다. AI는 엔지니어가 널리 사용되는 샌드박싱 기술을 테스트하고 강화하는 데 도움을 주어 여러 애플리케이션 전반의 보호를 개선할 수 있습니다.
이 접근법 개선에 도와주세요
유지보수자, 연구자, 대응팀, 공급자 및 운영자가 이 접근법이 실현 가능하도록 도울 수 있도록 우리의 접근법을 공유합니다. 어디에서 도움이 될지, 어디에서 지연이나 부담을 더할 수 있을지, 그리고 우리가 무엇을 놓쳤는지 이해하고자 합니다. 과거 취약점 공개 사례는 특히 유용할 것입니다.
특히 다음 사항에 관심이 있습니다:
공개 기간. 유지보수자, 운영자, 방어자가 신뢰할 수 있는 수정 사항을 준비하고 배포하는 데 얼마나 많은 시간이 필요합니까? 특히 일부 사용자가 다른 사용자보다 더 빨리 보호될 수 있을 때, 더 이른 공개를 촉발해야 할 근거는 무엇입니까?
긴급 패치. 정부나 다른 운영자가 관리자 접근 권한을 잃은 후 자신이 소유하거나 관리를 승인받은 시스템을 패치하기 위해 취약점을 사용해야 하는 때는 언제입니까(있다면)? 어떤 안전장치가 적용되어야 합니까? 우리는 알려진 취약점에 대한 인터넷 전역의 상시 스캔을 수행하고, 탐지될 때 사이트 소유자에게 알리거나 시스템을 패치하는 최종 상태를 상상할 수 있습니다.
사전 통지. 유용한 보호 조치를 취하기 위해 사전 경고가 필요한 사람은 누구이며, 우리가 놓칠 수 있는 방어자는 누구입니까? 언제 단계적 통지가 더 넓은 그룹에 한꺼번에 통지하는 것보다 효과적이며, 커버리지와 유출 위험을 어떻게 저울질해야 합니까?
기본적으로 안전한 소프트웨어 패키지. 상위 저장소의 수정 사항이pending 상태일 때 다운스트림 패키지의 취약점을 식별하고 수정하는 것, 또는 보안 업데이트를 더 이상 받지 않는 구버전으로 수정 사항을 백포트하는 것을 어떻게 도울 수 있습니까? 시의적절한 업그레이드가 불가능할 때 이러한 패키지를 신뢰할 수 있는 선택지로 만들려면 어떤 테스트와 유지보수가 필요합니까?
또한 이 접근법을 검토하고, 가정에 이의를 제기하며, 격차를 식별할 수 있는 독립 보안 전문가에 대한 추천도 환영합니다. 여러분의 의견은 대응을 다듬고 지원의 우선순위를 정하는 데 도움이 될 것입니다. 여기서 피드백을 공유해 주세요(새 창에서 열림).