이번 주 초 놀라운 발표가 있었습니다: 오픈 소스 프로그래밍 언어 PHP에서 최근 발견된 취약점으로 인해, 웹사이트 소유자들은 즉시 사이트를 패치해야 했습니다 — 바로 업데이트할 수 없는 경우라면, 안전을 위해 사이트를 내려놓아야 했습니다.
이번 주 에피소드의 TechCrunch의 Equity 팟캐스트에서 Kirsten Korosec, Sean O'Kane, 그리고 저는 PHP-ocalypse 의 중요성과 앞으로 이런 사건이 더 자주 일어날지에 대해 논의했습니다.
Sean은 이번 사태를 '진정한 변곡점의 순간'이라 부르며, '인터넷의 뼈대 수준까지 내려가 보면' 모든 것이 '풀과 꿈으로 유지되고 있는' 것처럼 보인다고 지적했습니다. 그리고 대규모 언어 모델과 AI 에이전트에 대한 광범위한 접근이 가능해지면서, 이러한 취약점을 찾는 일은 점점 더 쉬워질 것입니다. (다만, 이번 특정 취약점들은 AI 모델이 아니라 인간 연구자들이 발견했습니다.)
한편 Kirsten은 우리가 '차세대 수준의 종말 대비 […] 을 목격하게 되는 것 아닌가' 걱정했습니다. '은행이 공격당할 수 있다는 게 보이고, 데이터와 프라이버시 문제까지 고려하면, 지금 우리가 해결할 수 있는 수준보다 훨씬 큰 문제처럼 느껴집니다.'
길이와 명확성을 위해 편집된 우리 대화의 미리보기를 계속 읽어보세요.
Sean: 이번 주에는 인터넷이 여러모로 무너지고 있는 것 같습니다.
이런 일을 처음 접하는 사람들에게 가장 좋은 사고 방식은 이것이라고 생각합니다: 지난 10년간, 무언가가 무너지거나 거의 무너질 뻔한 순간이 몇 번이나 있었습니까? 누군가가 취미로 아주 작은 리포 저장소 하나를 관리하다가 우연히 악의적인 무언가가 진행 중임을 발견하고, 인터넷 인프라가 완전히 무너지는 것을 막아준 적이 말입니다.
이제 여기에 십억을 곱해 보세요. 모든 사람이 사용하는 이러한 LLM 형태의 극도로 발전된 소프트웨어에 접근할 수 있을 뿐만 아니라, 그 일을 스스로 수행하도록 지시할 수 있고, 그러한 목표 달성에만 몰두하는 AI 에이전트를 만들 수 있을 때를 말입니다.
이번 주에 우리는 두 가지 일의 균형을 보고 있습니다. 하나는 Google과 OpenAI 같은 연구소와 기업들이 실제로 사람들을 내보내 PHP 관련 취약점을 포함한 수많은 취약점을 찾았다는 것입니다. 그리고 또한 많은 사람들이 그 취약점을 이용해 웹사이트에 해킹을 시도하려고 서두르는 것으로 보입니다. 그래서 정부가 웹사이트를 내리고, 정말 인기 있는 웹사이트들이 이 취약점을 수정할 수 있도록 잠시 다운되기도 했습니다.
이것은 진정한 변곡점의 순간입니다. PHP 같은 오픈 소스 기술 위에 인터넷의 이토록 많은 부분을 구축한 것의 하방 리스크를 우리가 알게 되는 순간입니다. 인터넷의 뼈대 수준까지 내려가 보면, 그것은 풀과 꿈으로 유지되고 있습니다.
Anthony: 이번 사건에서 놀라운 점이 너무 많습니다. 그중 하나는, 제가 이해하기로는 적어도, 이것이 새로운 취약점이 아니라는 사실입니다. 이것은 PHP에 수십 년 동안 존재해 온 취약점입니다.
그리고 PHP는 웹의 상당 부분을 구축하는 데 사용된 프로그래밍 언어이기 때문에, 이 취약점은 수십 년 동안 있었지만 아무도 몰랐습니다. 실제로 일어난 일은, Google이 인수한 Wiz를 포함한 이러한 대형 AI 기업들이 LLM을 사용해 이 취약점들을 찾아낼 수 있었다는 것입니다. [위에서 언급했듯이, 저는 이 부분을 잘못 알고 있었습니다: OpenAI와 Wiz의 Hack the Planet 이니셔티브에 참여한 인간 연구자들이 취약점을 발견했습니다. 다만 그들은 이 버그를 악용하는 데 AI를 사용했습니다.]
아마 계산의 일부는 이렇습니다: 우리가 LLM으로 이 취약점을 찾을 수 있다면 다른 사람들도 찾을 수 있으니, 이것을 패치해야 한다는 것입니다. 하지만 패치를 배포할 수 있는 유일한 방법은 취약점을 공개하는 것입니다. 그래서 매우 당황스러운 상황이 만들어집니다. [이렇게 말하죠]: '자, 이 취약점은 수십 년 동안 존재했습니다. 즉시 패치해야 하고, 즉시 패치할 수 없다면 웹사이트를 내려놓으세요. 그만큼 심각한 취약점입니다.'
Kirsten: 중요한 것은, 많은 사람들이 자신의 웹사이트에 PHP가 있다는 것조차 인식하지 못한다는 점입니다. PHP는 앞서 언급했듯이 수십 년 된 오픈 소스 프로그래밍 언어입니다.
모르는 분들을 위해 말씀드리면, 공식 명칭은 Hypertext Preprocessor이며, WordPress와 Drupal 등 전체 웹사이트의 약 70%에서 사용되는 콘텐츠 관리 시스템의 핵심 재료입니다. 수천만 개의 웹사이트가 이야기 대상입니다. 그래서 저에게는 규모의 문제입니다. 그리고 이것이 제게 즉각적으로 두 가지 생각을 불러일으켰습니다. 하나는, 이것은 시작에 불과하다는 것입니다. 악용될 수 있는 다른 수십 년 된 나쁜 소프트웨어는 무엇이 있을까요?
다른 하나는 404 Media와 관련된 것인데, 404 Media는 정말 훌륭한 분석이군요에서 언급된 것인데, 바로 링크 부패(link rot)입니다. 많은 사람, 기업, 정부, 어쩌면 그 작은 동네 웹사이트도 이런 [웹사이트]들을 폐쇄하고 있거든요. 그래서 링크 부패가 엄청나게 늘어나고, 과거의 작은 기록조차 담고 있었을지 모르는 웹사이트들이 더 이상 접근할 수 없게 되어, 보존하지 않고 사라지고 말 겁니다.
Sean: 번역: "Anthony, 정말 좋은 지적을 하신 것 같습니다. 저는 여기서 공개 방식(디스클로저 롤아웃)에 대해 불만을 품은 사람들을 많이 봤고, OpenAI가 관련 게시물에서 한 것으로 보이는 다소 과시적인 자기 과시(가슴 두드리기)도 조금 있었습니다."
또한 이번 릴리스의 보도 자료 embargo를 몇몇 사람이 미리 앞질러 버렸고, 그로 인해 해커들 사이에서 경쟁이 벌어진 것 같습니다. Cloudflare CEO Matthew Prince가 이미 그렇게 했다고 생각합니다. 게시됨 PHP2Shell에 대한 수백만 건의 시도된 해킹으로 확대되는 것을 목격하는 문제에 관해서입니다.
이러한 취약점과 관련해서, 사이버보안에서 일반적으로 작동하는 방식은 다음과 같습니다. 회사의 소프트웨어를 스트레스 테스트할 때, 설령 수많은 컴퓨터나 인터넷의 일부 등을 구동하는 데 도움이 되는 근본적인 소프트웨어라 하더라도, 그 회사에 가서 취약점을 공개하면 대체로 그 범위 안에 머물게 됩니다. 하지만 이렇게까지 깊고 근본적인 문제에 대해서는 모든 사람에게 조용히 일일이 알려줄 수 없습니다.
제 말은, AI가 충분히 발전했다면 웹사이트의 일부를 통제하는 모든 사람에게 이메일을 보내도록 1,000,000,000개의 에이전트를 동원할 수 있을지도 모릅니다. 우리는 이제 쉽게 식별 가능했던 웹마스터가 있던 시절을 그리워하고 있고, 어쩌면 그것이 어느 정도는 문제를 해결했을 것입니다. 하지만 이렇게 할 쉬운 방법은 그저 없습니다. 이것은 앞으로 많은 공방이 이어지고 사이버 보안의 명백한 새로운 개척 분야가 될 일의 시작이라고 생각합니다.
Kirsten: Matthew Prince의 소셜 미디어 게시물은 저에게 정말 많은 것을 말해주었고, 상당히 무서웠습니다. 또한 두 분 중에 이것을 보셨는지 모르겠지만, Amazon도 블로그 게시물을 올렸습니다. 이곳은 자본이 매우 충분한 회사이기 때문에 무슨 일이 일어나고 있는지 파악할 도구와 팀을 갖추고 있습니다. 그들은 기본적으로 허니팟 네트워크, 즉 기만용 미끼를 운영하고 있으며, 실제로 그 취약점이 공개적으로 발표되기 전에 이를 악용하려는 시도가 있었음을 확인했습니다.
저에게는 다시 이것으로 돌아갑니다. Amazon에는 이런 것들과 싸울 도구와 자본과 노하우가 있습니다. 하지만 그런 수준의 주의를 받지 못하는 웹사이트, 심지어 잠재적으로 정부 웹사이트까지 너무나 많습니다. 그래서 저에게 그것이 정말 무서운 부분입니다.
그리고 아마도 이것을 재해 대비 수준의 종말론으로 한 단계 끌어올릴 AI 직원들이 있습니다. 은행이 악용될 수 있다는 점, 그리고 데이터와 프라이버시 우려를 고려하면, 지금 우리가 해결할 수 있는 것보다 훨씬 큰 문제처럼 느껴지기 때문입니다. 그래서 저는 두 가지가 궁금합니다. 하나는 사람들의 행동이 얼마나 극단적으로 변할 것인가입니다. 하지만 또한 이번 일을 계기로 새로운 스타트업이 생겨날지, 아니면 [Nvidia 같은 회사들이 제공하는] 오픈 소스 도구 일부를 활용하여 이러한 보안 계층을 만들게 될지 궁금합니다.