cohttp 패치 PR 공개 10분 뒤 경로 탐색 공격 탐지, AI가 보안 공개 절차를 압박함

rclone 유지보수 10년 동안 GitHub 보안 제보가 약 20건이었는데 지난 한 달에만 40건 넘게 처리했음. AI로 분류와 수정안 검토를 해도 시간 소모가 크고, 제보의 약 75%에는 실제로 살필 문제가 있음.

보안 패치 10개쯤을 한 배치로 묶어 처리하는 방식이 나았음. 같은 기능의 버그를 한 브랜치에서 고쳐 검증과 리뷰, CI/CD 시간을 여러 건에 나눠 쓸 수 있음.

익스플로잇을 패치, 커밋 메시지, 어쩌다 새어 나온 단서에서 역추적하는 일 자체는 LLM 이전부터 있었음. 지금은 낮은 가치의 대상을 인터넷 전체에서 노리는 주체까지 이 능력을 쉽게 쓰게 된 게 차이임.

예전에는 PoC를 만들려면 며칠이나 몇 주 동안 분석, 테스트, 리버스 엔지니어링을 해야 했음. 이제는 커밋 읽기부터 패치 바이너리 분석, 익스플로잇 제작과 스캔 자동화까지 몇 분이나 몇 시간에 끝낼 수 있음.

AI가 5분 만에 찾아서 내가 검증한 버그도 조직은 고칠 의지가 없음. 속도만 요구하면서 더 빠르게 버그를 내보내고, 그걸 속도라고 부르는 상황임.

기능 작업을 여러 PR로 나누고 보안 버그 수정은 별도 PR로 넣으면 됨. 그 30분 때문에 다른 일을 미뤄야 해서 상사와 싸울 필요가 있을 때만 문제가 됨.

보안 문제가 값싸게 발견되고 악용되면, 보안 수정을 늦추던 회사도 책임 문제 때문에 빨리 고치게 될지도 모름.

메모리 안전 언어 얘기가 빠졌음. 기존 프로젝트와 논리 버그를 해결하진 못해도 unsafe 같은 탈출구를 빼면 악용 가능한 메모리 버그 수를 크게 줄임.