AI 감사 2주 만에 PHP 치명 취약점 발견, '40년 기술 부채 청산' 논쟁

솔직히 늦는 것보단 빠른 게 낫지.

국가나 기업이 숨겨둔 0-day가 이 소동 와중에 우연히라도 걸려 나왔으면 좋겠음. 지금은 패치할 게 넘쳐서 짜증나지만, 장기적으로는 더 튼튼한 소프트웨어로 남을지도.

진짜 원인은 기술 부채가 아니라 NSA임. 20년 동안 취약점을 쟁여두고 메모리 안전 언어 대신 address sanitization, pointer tagging 같은 미봉책으로 업계를 밀었음. IME/PSP/TrustZone을 정부 조달 조건으로 99% CPU에 밀어넣은 실력이면 메모리 안전 언어도 충분히 밀어넣었을 텐데, 취약점 비축을 골랐음.

아무도 현재 툴체인에서 아무것도 물려받지 않는 새 시스템과 기반 언어를 이야기하지 않는 게 신기함. 브라우저를 쓸 수 있으면 그 아래가 뭐든 상관없음.

AI한테 대충 방향만 알려주면 버그를 찾아내는 세상에서, 조율된 공개를 명분으로 픽스와 익스플로잇을 인위적으로 늦추는 게 더 짜증남.

AI가 인간 소프트웨어를 스트레스 테스트하는 흐름의 끝은 모든 버그가 발견되는 것임. 그러면 목표는 버그 없는 소프트웨어가 되고, 코드를 증명 가능하게 만드는 길밖에 없음. 현실적으로 AI로만 가능함.

나는 반대로 감. AI 보조 마이크로커널로 가고 문제에 실제로 필요한 프로그래밍만 함. 내 웹서버가 바이트 넘기는데 100만 줄 코드가 필요했던 적은 없음.

양쪽 다 해봤는데 ISO27001 같은 인증은 게임하기 너무 쉬움. AI 도구 때문에 회사들이 하는 위험 계산이 발밑에서 바뀌고 있음.

그 인증은 보안이 아니라 규정 준수용임. '공급사가 ISO 인증받았으니 나는 실사했다'고 말할 수 있게 해주는 장치고, 감사 자리에서 거짓말해도 처벌받는 사람 없음.

그래도 AI가 부채를 줄이는 데도 도움이 되잖음.

Calif가 OpenAI 후원으로 PHP를 감사했는데 2주 만에 OOM 버그로 호스트에 임의 코드를 심는 방법을 찾아냈음. 제목은 'AI가 40년 기술 부채를 없애주고 있다'가 맞음. AI가 버그를 찾았고 지금은 패치도 만들었을 테니까.

내 지난 직장에서 몇 년치보다 많은 버그와 취약점을 지난 3개월에 패치했음. 더 나빠질까 봐 걱정임.

더 나빠지는 게 아니라 더 나아지는 거 아님? 아니면 안 고친 버그가 더 좋다는 거임?

AI는 새로운 종류의 기술 부채도 훨씬 빠르게 만듦. 지난 2주 동안만 경력 전체에 넣은 임시 수정을 두 배로 넣은 것 같음.

AI가 끼면 PR 승인이 더 쉬워짐. 나중에 코드 바꾸기가 쉬워지니까. 구조적인 엔지니어링 프로세스 대신 뭐가 되는지 알아가는 정원 가꾸기 같아지고, 요구사항이 아니라 비즈니스가 진짜 원하는 걸 쫓음. 3년 뒤 제품은 EOL이고.

HTTP2Shell/Brotli2Shell이 사실 더 심했음. 코드에 8년 있었고 픽스는 Git에 있는데 8개월간 배포 안 됐고 독립 연구자가 최소 4명이었음. 현실은 여전히 사람이 취약점 위에 몇 달 몇 년씩 앉아 있다는 거임.

애초에 그 기술 부채는 어떻게 생겼냐면, 40년 넘게 IT 인프라를 방치한 결과임.