AI 요약
OCaml의 cohttp 6.3.0에서 발견된 path traversal 취약점을 수정하는 과정에서, 보안 패치 공개 직후 수 분 내에 동일한 버그 패턴을 탐지하는 자동화된 공격 프로브가 서버 로그에서 관찰되었다. 저자는 자신의 AI 에이전트를 이용해 취약점에 대한 대략적인 정보만으로도 1분 이내에 익스플로잇을 생성할 수 있음을 확인했다. 이는 보안 취약점에 대한 '소문'만으로도 AI 기반 공격 시스템이 새로운 익스플로잇을 찾아낼 수 있음을 의미하며, 기존의 보안 엠바고(비공개 유지) 방식이 더 이상 효과적이지 않음을 시사한다. CVE 설명만으로 GPT-4 에이전트가 15개 취약점 벤치마크의 87%를 익스플로잇했다는 연구 결과도 인용되었다.
핵심 포인트
- cohttp 6.3.0 path traversal 패치 PR 공개 후 약 10분 만에 동일 패턴의 공격 프로브가 서버에 도달
- 저자의 AI 에이전트(DeepSeek V4 Pro)가 취약점 관련 정보만으로 1분 이내에 익스플로잇 생성
- CVE 설명 제공 시 GPT-4 에이전트의 익스플로잇 성공률 87%, 미제공 시 7% (Fang et al. 연구)
- 평균 익스플로잇 시간이 2018-19년 약 63일에서 2024년에 0일을 넘어서며 패치 이전에 공격이 선행되는 추세
향후 전망
- 오픈소스 보안 대응 프로세스가 '비밀 유지'에서 '신속한 대응' 중심으로 재설계될 필요성 대두
- AI 에이전트 기반 취약점 탐색이 보편화됨에 따라 보안 패치 공개 절차의 근본적 변화가 불가피할 전망
출처:hackernews