버그를 찾는 속도가 고치는 속도를 앞지르는 해
10월 21일 하루에 PHP와 Node.js의 보안 공지가 함께 나왔다. 둘 다 AI가 찾는 데 손을 보탰다. 찾는 쪽은 자동화됐는데 고치는 쪽은 아직 사람 속도다. 이 간극이 2027년 보안의 중심 문제가 될 것이다.
10월 21일, 위즈(Wiz) 리서치는 PHP 엔진에서 인증 없이 원격 코드 실행으로 이어지는 결함을 공개했다. CVE 2건, 버그 4개, CVSS 최고 9.2. 위즈는 자사 도구와 제미나이·GPT 계열 모델을 발견, 공격 코드 작성, 패치 검증에 썼다고 밝혔다. 같은 날 Node.js 프로젝트는 취약점 10건을 고친 보안 릴리스를 냈고, 그중 고위험 1건은 오픈AI의 코덱스 시큐리티가 보고했다. 나는 이 하루를 우연으로 보지 않는다.
왜 이렇게 보나
두 공지에는 공통점이 하나 더 있다. Node.js가 고친 10건 가운데 3건은 이전 패치가 불완전해서 다시 나온 문제였다. 고치는 일은 여전히 사람이 코드를 읽고, 테스트하고, 배포 일정을 잡는 속도로 움직인다. 찾는 쪽은 모델이 쉬지 않고 돈다. PHP처럼 웹의 상당 부분이 쓰는 엔진에서 이런 결함이 나오면 문제는 '다음이 어디냐'가 아니라 '얼마나 자주냐'가 된다.
- 2027년 4월까지, PHP2Shell처럼 널리 쓰이는 런타임·엔진 수준의 치명적 취약점(CVSS 9 이상)이 AI 도구로 발견됐다고 밝힌 공개 사례가 두 건 이상 더 나온다.
- 주요 오픈소스 프로젝트의 보안 공지에 'AI 도구로 발견' 표기가 흔해져, 보안 업계가 이를 별도 통계로 집계하기 시작한다.
- 호스팅 업체들이 런타임 자동 업데이트를 기본값으로 바꾸는 흐름이 빨라진다.
틀릴 수 있는 지점
AI가 찾은 버그가 늘어나는 만큼 AI로 패치를 검증하는 도구도 함께 좋아질 수 있다. 위즈도 패치 검증에 모델을 썼다. 고치는 쪽의 자동화가 예상보다 빨리 따라오면 간극은 생각만큼 벌어지지 않는다. 그래도 간극이 쉽게 줄지 않으리라 보는 이유는, 배포는 결국 운영자 손에 달려 있기 때문이다.
짧게 보고, 길게 읽으세요
30초 영상은 인스타그램과 유튜브 쇼츠로, 토론은 쓰레드에서 이어 갑니다. 새 소식은 거기에 가장 먼저 올라갑니다.
