AI 보안 도구가 이제 저렴하고 공개되어 해커들의 취약점 탐지 방식이 변한다
연구자들이 소프트웨어 버그를 찾아내는 강력한 AI 도구가 더 이상 비밀 연구소에만 갇혀 있지 않고, 신용카드만 있으면 누구나 쓸 수 있다는 사실을 입증했다. 이로 인해 은행 앱부터 소셜 미디어까지 모든 소프트웨어에서 치명적인 보안 결함을 발견하는 능력이 대중화되고 있으며, 이는 모두에게 디지털 보안 지형을 바꿀 가능성을 품고 있다.
주요 AI 기업 Anthropic이 해커가 악용할 수 있는 소프트웨어 취약점—약점—을 찾는 강력한 시스템 'Claude Mythos'를 공개했을 때, 그들은 이를 위험한 비밀처럼 다뤘다. 대형 기술 회사들과 정부 관계자들로 구성된 소수에게만 공유하며 대중 사용은 너무 위험하다고 경고했다. 소수의 엄격히 심사된 조직만 이런 강력한 도구를 가져야 한다는 취지였다. 하지만 Vidoc Security의 새로운 연구가 이 경고를 공개적인 현실 점검으로 바꿔놓았다. 온라인에서 누구나 쓸 수 있는 AI 모델인 GPT-5.4나 Claude Opus 같은 걸 써서 비슷한 결과를 시도당 30달러 미만으로 달성할 수 있음을 증명한 것이다.
AI가 탐정처럼 버그를 찾는 방법
소프트웨어 버그를 찾는 일은 거대하고 끊임없이 변하는 벽 속 하나의 헐거운 벽돌을 찾는 것과 같다. 전통적으로는 수백만 줄의 코드를 일일이 뜯어보는 고도로 숙련된 인간 전문가들이 필요했다. AI는 이 과정을 바꿔놓는다. 전체 '벽'을 빠르게 훑으며 구조가 수상한 부분을 표시해낸다. 연구자들은 AI에게 단순히 질문을 던진 게 아니라 다단계 프로세스를 만들었다. 먼저 계획 AI가 대형 소프트웨어 파일을 작은 덩어리로 쪼개고, 탐지 AI가 각 덩어리를 검사해 버그로 이어질 만한 패턴을 찾는다. 관련 파일까지 확인해 한 부분의 문제가 다른 데까지 미치는지도 본다.
- 실제로 널리 쓰이는 소프트웨어에서 테스트했다: 파일 공유 시스템, 보안 운영 체제, 비디오 처리 소프트웨어(YouTube 비디오를 재생하는 데 쓰이는 것처럼), 디지털 서명 처리 라이브러리(공식 문서에 찍히는 전자 '도장'처럼).
- 여러 번 실행에서 공개 AI 모델들이 Anthropic의 독점 시스템이 찾아낸 동일한 구체적 버그를 성공적으로 식별했다.
- 한 모델은 보안 운영 체제의 알려진 버그를 세 차례나 독립적으로 재발견하기도 했다.
발견과 악용 사이의 격차
이 연구는 중요한 차이를 분명히 한다: 약점을 찾는 건 무기를 만드는 것과 다르다. Anthropic의 비공개 모델은 버그를 발견하는 데 그치지 않고 공격자가 결함의 여러 조각을 조합해 컴퓨터를 원격으로 장악하는 방법을까지 파악했다. 이 테스트의 공개 모델들은 구멍은 찾았지만 단계별 공격 계획을 자동으로 만들진 않았다. 이게 현재 '해자'나 장벽이다. 저렴하고 대중적인 건 발견 단계다. 그 발견을 믿을 만한 수정안이나 깊이 이해한 위협으로 바꾸는 건 여전히 비싸고 어렵다.
주요 takeaways
- 발견이 민주화됐다: 소프트웨어 취약점 발견이라는 초기 핵심 단계가 이제 저렴한 공개 AI 도구로 누구나 접근 가능해졌다.
- 장벽이 옮겨갔다: 최고 AI 모델을 가진 것만이 우위가 아니다. 발견 내용을 검증하고 실세계 영향을 이해하는 전문성에 달렸다.
- 타임라인이 앞당겨졌다: Anthropic은 비슷한 능력이 다른 연구소로 6~18개월 안에 퍼질 거라 봤지만, 이 연구는 발견 능력이 이미 현실화됐음을 보여준다.
일반인에게 이는 무슨 의미인가?
이는 해커들이 모든 시스템에 즉시 침투한다는 뜻은 아니다. 하지만 온라인 뱅킹, 소셜 미디어 계정, 심지어 정부 서비스를 움직이는 소프트웨어의 잠재적 약점을 찾는 도구가 더 저렴하고 흔해지고 있다. 소프트웨어 회사와 보안 팀에겐 버그를 더 빨리 찾아 고치는 압력이 폭증할 터. 다른 모두에게는 최신 소프트웨어 사용과 강력한 고유 비밀번호의 중요성을 새삼 일깨우며, 디지털 세상의 기반 보안이 그 어느 때보다 집요하게 탐색되고 있음을 상기시킨다.
— Editorial Team
