Glasswing 7개월, Anthropic 귀속 CVE 442건 중 악용은 2건... 원장은 3만7,966건 발견에 수정 217건

1년 동안 이 findings 때문에 터진 대형 사고가 없다는 게 제일 명백한 신호 아님? LLM 덕에 공격면도 줄고 패치도 빨라졌겠지만 슈퍼마켓급 사건 몇 개는 나올 줄 알았음.

PHP 건도 있었고 *sshole 사건도 있었는데, 슈퍼마켓 공격자들이 AI를 안 썼다는 건 어떻게 앎?

지난 몇 달간 catastrophic 취약점이 격일로 나오고 있는데 뭘 보고 하는 소리임?

작년 progress 속도 보면 조심하는 게 좋음. OpenAI 10월 6일 수학 결과에 암호 관련은 없었지만 안 들여다봤을 리가 없음.

되든 안 되든 욕먹는 구조임. 바이낸스에서 터진 60억 달러 해킹도 AI 때문인지 말이 갈렸는데, 사건이 없으면 검증이라도 된 것처럼 넘어감.

매주 대형 유출 터지는데. 로펌도 개발 플랫폼도 다 털렸음. glasswing 때문은 아니지만 LLM 때문인 건 맞음.

curl 얘기 하나로 결론 내기엔 부족함. 공개된 20%만 보고 나머지 80%는 미수정인지 가짜인지 알 수 없음. 생존자만 분석한 셈임.

거기에 좀 부정적이기만 함. curl에서 CVSS 10점짜리 완전 장악형 RCE 하나 찾은 게 사용자 규모 생각하면 얼마짜리인데.

나머지 80%가 밀린 건 통계적으로 특별해서가 아니라 사람이 병목이라 그럼. 패치 제안까지 하게 시켜야지. 코딩 LLM 최고라면서 탐지만 하고.

가장 그럴듯한 설명은 헛소리 더미를 사람 리뷰에 올릴 가치가 없다는 것임. 진짜 PR 광산이면 리뷰 인력을 늘렸겠지. 처음부터 가짜였음.

공개된 19.4%만 보고 광범위한 결론을 내리는 거 아님? 정부가 비밀 백도어를 알고 일부러 숨기는 경우도 많음.

여기서 public은 정부 보관이랑 무관함. 패치를 landing하고 복잡한 건을 조율하는 문제임.

Anthropic이 '4만 건 찾았는데 80%는 우리랑 정부가 갖고 있음, 다 juicy한 것들'이라고 쓸 거 같음?

결론이 VulnCheck 사업모델과 딱 맞아떨어짐. 광고지.

AI가 찾는 건 잘하고 고치는 건 못한다는 일반 패턴이면 나쁜 소식임. 지금 실험 수치가 37,966 대 217이잖음.

방어가 RL 타깃인 한 그렇게까지 안 흘러감. 레드팀이 세지면 블루팀이 학습할 타깃 환경도 같이 세짐.

문서화된 테스트만 있으면 AI는 취약점 고치는 것도 아주 잘함. 사람이 픽스 코드를 훑어볼 때 얘기지만.

Microsoft나 Cisco가 내부팀이 AI로 CVE 찾았다고 Anthropic에 크레딧을 줄 거라 생각함?

귀속과 보고는 이런 회사들이 접근 권한 받는 조건에 포함됐을 가능성이 큼.

PHP2shell 때 최신 배포판용 .deb만 패치되고 구버전은 방치됐음. 한 줄 프롬프트면 서버가 다 패치될 줄 알았는데 아니었음.

예상된 일임. nothing burger 이슈만 메인테이너한테 쏟아짐.

PHP2shell은 오히려 위로가 됐음. 이전에 알려진, 익스플로잇이 아주 어려운 로직 결함이었고 실제 영향도 작았음. 코드를 안전하게 만들 수 있다고 믿으면 LLM이 할 수 있는 피해에도 한계가 있음.