PHP2Shell 취약점으로 인터넷 70% 흔들림, LLM이 묵혀둔 이론적 결함을 하루 만에 익스플로잇으로 바꿈

새로운 사이버 노멀? 아님. 초인적인 개발자가 등장해서 버그를 한꺼번에 쏟아내는 짧은 전환기일 뿐임. AI가 짠 코드가 대세가 되면 발견 속도도 줄어들 거라 봄. 몇 년치 백로그를 청소하는 중이고 유지보수 쪽은 AI 쓸 시간이 없었던 것뿐임.

AI가 코드를 짜고 그 코드를 또 AI로 감사해도 취약점은 계속 나오던데. AI가 버그를 잘 찾는다고 버그 없는 코드를 짜는 건 아니라서 그 논리는 안 맞음. 결과물 받은 사람이 감사 단계를 또 안 밟는 것도 한몫함.

심각한 취약점이 무한정 있는 건 아니라는 데 한 표. 에이전트는 소스에 접근하면 훨씬 빠르니까 NHS가 소스를 닫는다고 안전해질 리도 없고, 오히려 눈에 안 띄게 된 것뿐임.

내가 본 자료로는 새 노멀이 맞음. Mythos 처음 나왔을 때 주변 보안 담당자들이 다들 패닉했고, 내 업무 상당 부분이 AI가 만든 익스플로잇 대응임. AI가 코드를 찍어내는 속도가 문제를 더 키움.

보안 제품 파는 쪽이 이걸로 공포 마케팅하는 거지. 현장 인력은 LLM이 OSINT랑 피싱 메일, 음성 위조를 해대는 쪽을 더 걱정함. 실제 손실은 그쪽에서 나는데 사람들은 화려한 것만 얘기함.

AI 코드가 보안에 형편없다는 게 맞나? 내 경험으론 오히려 방어적으로 짜고 뻔한 실수는 잘 피하던데. 옛날 모델이랑 비교하는 거 아님?

‘뉴 노멀’이라는 말 또 나오네. 2020년에 엄청 밀던 표현인데.

코드를 아예 안 보고 봇을 믿는 개발자가 늘어난 게 진짜 문제임. 지난주에도 인증 구현이 깨지고 벤치마크가 조작된 사례를 화제 프로젝트에서 봤음. AI 출력은 무조건 검증해야 함.

AI 코드가 보안에 약하다는 건 과거 얘기 같음. 지금 드러나는 건 사람이 몇 년 전에 짠 코드임. 공격자에게 LLM이 있으면 방어자에게도 있으니까.

AI가 남의 코드에서 취약점 찾는 건 잘하면서 자기가 짠 코드에서 같은 결함 피하는 건 왜 못 하냐는 대칭이 이해 안 감. 막고 싶은 공격을 프롬프트로 주면 방어도 할 수 있을 텐데.

AI 업계가 이 판을 만든 것도 잊지 말자. 어느 단계든 불가피한 선택이 아니었음.

지속적인 펜 테스트를 상시로 돌려야 하는 거 아님? 이제 그 정도는 기본이 되어야 한다고 봄.