OpenAI, PHP 치명적 취약점 조율 대응 체계 제안
- Calif가 GPT-5.6 Sol로 PHP의 치명적 결함을 찾아냈고, Wiz도 같은 두 취약점을 독자적으로 발견해 신고함
- OpenAI가 주도한 Patch the Planet 연합이 PHP 관리자 측 수정과 릴리스를 지원하고, Cloudflare 등 인프라 업체가 패치 전 보호 조치를 준비함
- PHP 버전 점검 도구를 Codex 스킬로 공개해 운영자가 취약 버전을 가려내고 업데이트 적용 여부를 판단하도록 함
- 제안된 대응 체계는 다섯 단계로 구성되어 상류 취약점 검증과 수정, 영향받는 조직의 대응 시간 확보, 정부 기관 협력, 제품별 업데이트 준비, 패치 후 공개 안내를 포함함
- OpenAI는 10억 달러 규모 Daybreak 접근 지원을 약속하고, 향후 몇 달 동안 비슷한 취약점 발견이 크게 늘어날 것으로 예상함
Hacker News opinions
병은 원래 있었고 취약점은 이미 누구나 찾을 수 있었음. 국가급 행위자만 쓰던 게 아니라서 문제인 거지. 백신은 만드는 데 든 비용에 비하면 싸게 풀려 있음.
OpenAI가 AI가 다 한 것처럼 포장하는 건 맞는 듯함. Calif 글 보면 특별한 하네스 없이 일반 공개 모델로 찾았고, 대상 코드의 취약점 역사를 알고 있던 사람이 방향을 잡아준 거더라.
Calif가 익스플로잇을 두 달 정도 쥐고 있다가 발표한 건 좀 찝찝함. 그 사이에 Ryan Austin이 RCE 경로를 찾아서 PHP에 제출했다는 얘기도 있던데, 사실 관계는 더 찾아봐야 함.
Patch the Planet이라는 이름부터 마케팅 냄새 남. 그래도 취약점 찾아서 신고한 건 좋은 일이라고 봄. 숨겨두고 아무도 모르길 바라는 것보단 낫지.
오래된 버전 백포트 문제는 마법 같은 코드 생성기로 해결 안 됨. 업데이트 끊긴 조직은 어차피 새 패치 따라가지 않음. 진짜 난이도는 공급망 하위 의존성에 어디까지 알릴지임.
Daybreak 접근권 받기 전까지 Defender's Window가 얼마나 남을지가 관건임. 지금 당장은 PHP 버전부터 점검하는 게 답임.
10억 달러를 그냥 오픈소스 QA에 쓰는 게 낫지 않나. 100% 커버리지, ASAN, 퍼저 돌리는 쪽이 효과 더 큼. 마케팅은 없겠지만.
'훔쳤다'는 건 좀 과한 듯. 메인테이너들은 자기 코드를 자랑스럽게 공개한 거니까.