LLM이 지어낸 존재하지 않는 SQLite 취약점에 크리티컬 CVE 발급, JFrog가 전부 허위로 확인

CVE 전부 패치해야 하는 정책 있는 회사들은 이거 골치아프겠는데

이런 정책 쓰는 조직이 실제로 있다는 게 신기함, 오픈소스 아예 안 쓰지 않는 이상 유지 불가능할 텐데

조직들이 이제 적응해야지, 일부 CVE는 가짜라는 현실에

우리 회사 보안팀 완전 지쳤음. 사기인 거 알면서도 조사하고 DNF 문서 쓰고 기록 업데이트하고, 스캔에서 없어지길 바라는 것밖에 못함

이게 신호 대 잡음비를 떨어뜨려서 진짜 CVE 골라내기가 더 힘들어짐. 근데 LLM이 진짜 취약점도 많이 찾아내고 있어서 블랙햇들도 최대한 활용하고 있을 거임

이 글에 나온 6개 CVE 전부 조사해보니 실제로 존재하지 않는 거였음, 그런데 크리티컬이라니

검증 안 하고 그냥 등록해주는 시스템은 대량 허위 신고로 공격당하기 딱 좋음, 시스템 신뢰도를 확 떨어뜨릴 수 있음

리눅스 커널이 CNA 되면서 이런 식의 남용을 막으려는 시도를 하고 있음. curl도 자체 CNA 만들고 해커원 리워드까지 없앴음, AI 슬롭이 매일 쏟아져서

이 블로그 글 자체를 Analysis Matrix까지 Gptzero에 돌려보니 71% AI 생성이라고 나옴, 자기들도 AI 썼으면서

존재하지도 않는 취약점에 크리티컬 등급 붙이는 거 진짜 어이없음, 트리아지 비용은 결국 메인테이너들이 부담함

나는 진짜 취약점 리포트 보냈는데 메인테이너들이 이런 헛소리 처리하느라 바빠서 확인도 안 해줌

이 기사를 다시 Gptzero에 돌려봤더니 63/88 문장이 AI 생성 가능성 높다고 나옴, 아이러니함

슬롭 리포트 비판하는 글에 정작 관련 없는 슬롭 이미지 큼지막하게 박아넣은 것도 아이러니임

이 저장소가 SQLite랑 ESP32-audioI2S CVE를 섞어놓은 것도 이상함, 서로 다른 제품 CVE를 한 저장소에 섞는 게 흔한 일인지 모르겠음

LLM은 확률 기반 텍스트 예측기일 뿐인데 확실성이 중요한 보안 분야에 갖다 쓰니까 이런 사달이 남, 코드 주석을 취약점이라고 우기는 수준