OpenAI는 10월 21일 공지를 내놓으며, AI가 주도해 발견하고 여러 국가의 기관과 기업이 협력해 처리한 PHP 취약점 수정의 전 과정을 외부에 공개했다. 이번 조치는 OpenAI가 발의한 'Patch the Planet'(인터넷 전체를 수정하다) 계획이 추진한 것으로, 소프트웨어 유지보수자, 보안 연구자, 클라우드 서비스 제공업체와 정부 사이버보안 기구를 한 전선에 끌어들였고, 목표는 단 하나—취약점이 공격자의 표적이 되기 전에 먼저 글로벌 인터넷의 리스크를 낮추는 것이었다.
이번 PHP의 두 건의 심각한 취약점은 AI가 능동적으로 '맡아서' 발견한 것이다. 보안 회사 Calif는 GPT-5.6Sol을 활용해 먼저 심각한 보안 결함을 하나 찾아냈고, 보안 회사 Wiz는 관련된 두 건의 취약점을 독립적으로 발견해 신고했다. PHP는 수많은 웹사이트와 웹 애플리케이션을 떠받치는 오픈소스 언어로, 웹 요청, 데이터베이스 작업부터 백엔드 비즈니스 로직까지 모두 이에 의존하기 때문에, 하부 구조에 구멍이 생기면 웹사이트, 클라우드 서비스와 기업 시스템까지 모두 휘말릴 수 있다. 두 취약점 모두 심각(Critical) 등급으로 평가되었으며, 공격자는 인증 없이 원격으로 코드를 실행할 수 있다. PHP 개발팀은 이미 10월 21일 수정 버전을 출시했고, 사용자에게 즉시 업그레이드할 것을 촉구했다.
OpenAI는 이번 사건에서 가장 소중한 숨 돌릴 시간을 'Defender's Window'(방어자 창구)라고 부른다—즉 방어 측이 공격자보다 먼저 문제를 발견하고, 수정 방안을 마련하며 보호를 배포하는 시간차이다. 이번 취약점은 바로 공격자가 움직이기 전에 AI의 보조를 받아 발견되어, 유지보수자에게 귀중한 방어 준비 시간을 벌어주었다. 하지만 OpenAI는 모델 능력이 계속 향상됨에 따라 취약점 발견과 공격 도구 작성 사이의 시간차가 압축되고 있으며, 업계는 과거의 산발적인 취약점 처리 방식에서 유지보수자, 서비스 제공업체, 기업과 정부를 신속히 조율할 수 있는 체계화된 메커니즘으로 전환해야 한다고 경고했다.
이를 위해 OpenAI는 심각한 취약점을 대상으로 하는 5단계 조율 대응 프레임워크를 내놓았다. 첫째 단계, 유지보수자, 연구자와 핵심 기술 파트너가 함께 취약점을 검증하고, 영향을 평가하며, 수정을 개발·테스트하고, 나아가 첨단 모델로 적대적 테스트를 수행하여 패치가 실제로 공격을 막는지 확인하고 다른 악용 가능한 변체도 추적해야 한다. 둘째 단계, 영향을 받는 조직에 충분한 준비 기간을 남겨두고, 각자의 방어 책임에 따라 단계별로 기술 정보를 제공하며, 정보 공유 협약과 전담 조율 메커니즘으로 유출 리스크를 억제한다. 셋째 단계, 정부 사이버보안 기구와 손잡고 핵심 인프라 운영자가 제때 경보를 받도록 하는데, 이번에 OpenAI는 백악관 초지능 워킹그룹, 국가사이버국장실, 사이버보안 및 인프라 보안국(CISA)에 연락했고 국제 파트너와도 협조했다. 넷째 단계, 수정 방안과 공개 계획이 안정화된 후 범위를 확대하여 더 많은 배포자, 클라우드 서비스 제공업체와 호스팅 업체가 미리 업데이트를 준비하도록 하고, 구버전을 쓰며 최신 패치를 설치할 수 없는 조직에 대해서는 패치 백포팅이나 임시 방어의可行성을 평가해야 한다. 다섯째 단계, 패치 출시 후 대중에게 명확한 수정 가이드를 제공하고 배포 상황을 지속 추적하여 아직 업데이트하지 않은 조직이 실제 문제를 해결하도록 돕는다.
더 많은 조직이 움직일 수 있도록 돕기 위해, OpenAI는 PHP 버전 확인 도구를 제공하고, 이에配套하는 Codex 스킬을 출시할 계획으로, 시스템 운영자가 리스크가 있는 PHP 버전을 식별하고 공식 및 벤더 가이드라인과 결합해 업데이트 방안을 확정하도록 돕는다. 'Patch the Planet' 프로젝트는 취약점 공개 정보와 방어 가이드를 총정리하여 관리자가 권위 있는 패치를 찾고 임시 완화 조치를 대조하며 업데이트가 실제로 적용되었는지 확인하도록 돕는다. 자원 측면에서, OpenAI는 'Daybreak for Frontline Defenders' 계획을 통해 10억 달러 상당의 보조금 지원형 Daybreak 서비스 접근 크레딧을 제공하고, 핵심 방어 임무를 맡았지만 보안 자원이 제한적인 조직을 중점 지원하며, Codex for OSS를 통해 오픈소스 유지보수자에게 구독 지원을 제공하고 Rust 재단 등 프로젝트를 직접 후원한다.
더 깊은 차원의 사고는 소프트웨어 설계 단계부터 AI가 결함을 줄이도록 하는 것이다—엔지니어가 더 안전한 기본 설정을 선택하고, 보안 라이브러리를 올바르게 호출하며, 위험한 코드 패턴을 조기에 찾아내도록 돕는 것이다. 하나의 명확한 방향은 핵심 컴포넌트를 메모리 안전 언어로 이전하여, 메모리 관리 오류(이미 해제된 메모리 접근, 버퍼 경계 초과 등)로 인한 한 부류의 취약점을 근원에서 제거하는 것이다. AI는 이전을 보조할 수 있지만, 이전 후의 동작, 호환성과 보안은 여전히 사람의 검토가 필요하다. 형식 검증은 수학적으로 프로그램이 특정 가정 하에 보안 속성을 만족하는지 검증하고, 샌드박스는 신뢰할 수 없는 파일, 이미지나 미디어를 처리하는 소프트웨어를 통제된 환경에 가두어, 침해되더라도 추가 확산을 제한한다.
OpenAI는 또한 사이버보안 분야에서 AI 사용을 확대하려면 더 완비된 남용 방지 조치가 필요하다고 인정했다—Daybreak를 위해 보안 분류기를 조정 중이며, 도구가 악의적으로 이용될 리스크를 낮추기 위해 노력하고 있지만, 지나치게 엄격한 제한은 합법적 연구까지 걸림돌이 될 수 있어 균형이 핵심이다. 또한 더 논쟁적인 구상도 내놓았다. 인터넷 시스템이 점진적으로 지속적인 취약점 스캔 메커니즘을 구축하여, 알려진 취약점 발견 시 웹사이트 소유자에게 통지하고, 심지어 승인을 받은 경우 시스템을 직접 수정할 수 있을지 모른다는 것이다. 그러나 이는 소유권, 권한, 오조작과 책임 경계에 관련되어 있어 여전히 엄격한 기술적·거버넌스적 보장이 필요하다.
이번 PHP 취약점 사건은 OpenAI가 'Patch the Planet'으로 AI 시대의 취약점 조율 공개 메커니즘에 대해 진행한 실전 훈련이다. 첨단 모델이 이미 인간을 대신해 취약점 연구를 가속할 수 있게 된 지금, 진정으로 인터넷을 지킬 수 있는지는 궁극적으로 유지보수자, 클라우드 서비스 제공업체, 기업과 정부 기관이 더 빠른 속도로 검증, 수정과 글로벌 배포를 완주할 수 있는지에 달려 있다—미래 사이버보안 경쟁의 핵심은 누가 먼저 취약점을 찾느냐가 아니라, 누가 더 빨리 검증하고 더 빨리 수정하며 글로벌 영향 시스템이 제때 갑옷을 입도록 할 수 있는가일지도 모른다.