"이론상 취약점이라 무시했는데…" 최신 AI가 실전 해킹 코드로 짜내 인터넷 70% 비상 걸린 사태

요약 최근 전 세계 수천 개 주요 웹사이트를 마비 공포로 몰아넣은 심각한 보안 취약점 사태가 발생했습니다. 이번 사태의 중심에 있는 것은 'PHP2Shell'로 명명된 PHP 원격 코드 실행(RCE) 취약점(CVE-2026-109618, CVE-2026-109619)입니다. 캘리포니아의 보안 업체 Calif와 클라우드 보안 기업 Wiz의 연구진이 최신 프론티어 AI 모델(GPT-5.6 Sol, Gemini 4 Argon 등)을 활용해 해당 취약점을 찾아내고 실제 공격 익스플로잇까지 제작해 냈습니다. 흥미롭게도 이 중 한 버그는 이미 2024년 PHP 재단의 보안 감사에서 이론적 문제로 발견되었으나, 당시에는 실제 공격 코드로 구현하기 어렵다는 이유로 수정되지 않은 채 방치되어 있었습니다. 하지만 최신 LLM은 막연한 이론적 취약점 설명이나 깃허브 패치 변경점(diff)만 보고도 순식간에 취약점을 역추적해 작동하는 실제 공격 코드로 엮어내는 데 매우 뛰어난 성능을 보였습니다. PHP2Shell 취약점은 전 세계 웹사이트의 70% 이상에 잠재적 영향을 미치는 것으로 추정되며, 위키미디어 재단부터 데비안아트, 영국 정부 시스템, 일본 은행망에 이르기까지 광범위한 인프라가 위험에 노출되었습니다. 보안 패치 엠바고가 걸려 있었으나 해커뉴스(Hacker News)에 관련 CVE 정보가 비공식적으로 유출되고, 보안 업체 Calif가 춤추는 애니메이션 캐릭터와 기괴한 배경음악이 깔린 익스플로잇 시연 영상을 유출하는가 하면, 또 다른 업체 체인가드(Chainguard)가 엠바고 해제 6시간 전에 수정 패치를 사전 공개하는 등 약 17시간 만에 혼란이 걷잡을 수 없이 번졌습니다. 결국 공식 보안 패치가 정식 배포되기도 전에 이미 실제 공격(in-the-wild)이 시작되었고, 각국 정부가 긴급 공지를 띄우며 전 세계적인 패닉이 일어났습니다. 비록 AI가 만들어내는 공격 코드 중 상당수는 제대로 작동하지 않는 '익스플로잇 쓰레기(exploit slop)'에 불과하다는 지적도 있지만, 수만 개 중 단 하나만 진짜로 먹히면 서버가 뚫리는 보안 업계 특성상, 취약점 발견부터 실제 공격까지 걸리는 시간이 기존의 수개월에서 '단 몇 분' 단위로 줄어든 충격적인 현실을 보여주고 있습니다.