요약
pwn.watch는 지금 벌어지는 보안 사고와 패치 여부를 한 화면에 모아 보여 줍니다.
개발자 @thekitze가 만든 실시간 보안 사고 추적 사이트입니다. 취약점, 정보 유출, 공급망 공격(납품받은 소프트웨어를 거쳐 들어오는 공격)을 모으고 고칠 방법이 나왔는지 함께 알려 줍니다.
왜 중요한가
- 공급사 공지와 CISA 악용 취약점 목록을 따로 뒤지지 않고도 지금 손봐야 할 사고를 고를 수 있습니다.
- 진행 중인 사고 40건 가운데 19건이 치명적 등급이고, 19건은 아직 완전히 패치되지 않았습니다.
- 지난 12개월 동안 239건이 기록됐습니다. 사고 없이 지나간 기간은 가장 길어야 11일이었습니다.
핵심 내용
- 사고마다 심각도, 패치 상태, 영향받는 제품, 시작일, CVE(공개 취약점에 붙는 고유 번호)를 붙여 보여 줍니다.
- 패치 완료 21건, 일부 패치 17건, 패치 없음 2건으로 나눠 걸러 볼 수 있습니다.
- 인증 없이 코드를 실행할 수 있는 GitLab 결함(CVSS 10.0)과 PHP 핵심부 결함 두 건이 치명적 사고로 올라 있습니다.
- Zeabur에서는 환경 변수 기록 약 322만 건이 유출돼 모든 비밀값을 바꾸라는 안내가 붙었습니다.
- RSS와 JSON 내보내기, AI용 요약 파일(llms.txt), 주요 사고 이메일 알림도 제공합니다.
HN 반응
- 새 세대 LLM이 사상 최대의 보안 사고를 몰고 온다는 우려가 많았고, 이런 흐름은 2년째이며 지금의 소란은 마케팅이라는 반론도 나왔습니다.
- 좁은 화면에 정보를 욱여넣은 AI 생성 사이트의 전형이라는 비판과, 화제에 편승해 광고 자리를 팔려 한다는 의심이 이어졌습니다.
2025년은 어땠는지 비교해서 보면 흥미로울 것 같아요.
결함이 발견되는 속도가 정말 미쳤어요. 예전부터 많은 사람이 허술한 보안 태세가 언젠가 우리 발목을 잡을 거라고 경고했는데, 드디어 그때가 온 거죠.
경제학자라면 이렇게 말할 겁니다. 우리가 보안에 쓰기로 합의한 만큼만 보안이 존재한다고요.
그리고 이 흐름이 계속되면 결과는 크게 두 가지뿐이라고 봅니다.
또는
1번은 블루팀 AI가 찾아낸 수정 사항을 모두가 제때 배포해야 성립합니다.
나쁜 놈들은 역사적으로 자기 시스템을 최신 상태로 유지하는 데 훨씬 더 능했고요.
그건 생존자 편향입니다. 못하는 악당은 "잡음"으로 치부돼 무시당하니까요. 전혀 최신이 아닌, 아주 허접하고 낡은 방식의 취약점 스캔도 엄청나게 많이 벌어지고 있습니다.
예전처럼 어떤 바이러스나 웜이 다른 바이러스를 패치해서 몰아내고 자기가 계속 살아남는 일이 다시 나타날 수도 있겠네요. 이번에는 AI를 써서요.
흥미로운 역설이 생길 수도 있겠네요. 예를 들어 스스로 인터넷을 더 안전하게 만들겠다는 임무를 부여한 자율적인 AI라든가요.
블래스터나 새서 같은 웜인데 AI가 붙고 이제는 멀티플랫폼이라니, 매크로 바이러스보다도 더 해롭겠네요.
사이버 보안에 지금까지 수십억 달러가 쓰였습니다. 대부분 낭비됐을 뿐이죠.
우리가 일을 잘못된 방식으로 하기 때문입니다.
"코드를 가져다 안전하게 만든다"
대신
"안전한 것을 가져다 코드로 만든다"여야 하는데요.
그렇긴 해도 불가능한 일일지 모릅니다. 어쩌면 튜링 완전성과 보안은 서로 상극이라서, 누군가는 항상 현실의 더 낮은 계층에서 시스템에 구멍을 낼 방법을 찾아낼지도 모르죠.
실행되는 하드웨어까지 검증된, 증명 가능하게 올바른 프로그램은 가능합니다(seL4가 몇 안 되는 예입니다). 다만 개발에 시간이 아주 많이 들죠. 단서가 붙기는 하지만, 원칙적으로는 네트워크 접근 같은 특정 공격 경로를 완전히 막을 수 있습니다. 그러면 공격자는 비용도 더 들고 위험도 더 큰 사람 조작이나 물리적 접근 쪽으로 가야 합니다.
ASI(인공 초지능)라면 이론상 디지털 회로가 본질적으로는 아날로그라는 점을 악용할 수 있겠죠(Plundervolt 같은 것을 더 정교하게 만든 식으로). 하지만 ASI를 방어해야 하는 단계까지 간다면 우리에겐 그보다 더 큰 문제가 있을 겁니다.
저도 이 글에서 방금 아주 비슷한 답을 쓰던 참이었습니다.
과학이 보여 준 흥미로운 사실 하나는 '인간' 규모가 전혀 특별하지 않다는 것입니다. 우리보다 큰 규모에도 작은 규모에도 온갖 복잡성이 존재합니다. 심지어 "인간"조차 아주 작은 것들이 함께 움직이면서 나타나는 창발 현상일 뿐이죠. 인간의 감각 너머에도 세계가 통째로 존재합니다.
그래서 우리가 미래로 돌진하는 속도가 조금 걱정됩니다. 뭔가를 만들어 놓고 "앗, 물릴 수 없는데" 하며 디지털 컴퓨팅의 보안을 전부 날려 버리고 세상이 완전히 엉망이 되는 걸 지켜보는 일은 피하고 싶습니다.
"안전한 것을 가져다 코드로 만든다".
맞아요, 바로 그겁니다. 자동화는 선택 사항이고 수동 제어가 기본이어야지, 자동화가 기본이고 "으악" 하고 누르는 비상 버튼만 선택 사항이면 안 되죠.
AI들이 해킹하고 패치하는 문제로 말하자면, 우리가 다루는 게 튜링 기계이니 어떤 코드베이스/버전에 대한 변경이 멈추기만 하면, 그 특정 릴리스를 충분히 공격하다 보면 가능한 구멍과 패치가 결국 전부 발견된다고 추론할 수 있습니다.
아마 콘웨이의 '생명 게임'과 거의 똑같이 전개되겠지만 규칙과 상태가 한두 자릿수 더 많고, 어떤 릴리스든 최종 패턴은 '안정'이 되겠죠.
이걸 보여 주는 실시간 대시보드가 필요합니다 :D
그렇게 해서 나온 게 기본적인 웹 인터페이스나 웹 서비스 하나에 로그인하는 데 MFA를 두 번씩 거치는 괴물 같은 것들이죠. 정신이 멀쩡한 사람이라면 애초에 그걸 돈 내고 쓰지 않았을 겁니다.
아뇨. 제가 말하는 건 그게 아닙니다. 그건 보안이라는 주제 안에서도 완전히 다른 문제예요. 신원 확인의 문제인데, 그 자체로 거의 풀 수 없는 문제이기도 하고요.
저는 알고리즘 수준의 문제를 이야기하는 겁니다.
제가 일해 본 수십억 달러 규모 회사에서는 정보 보안 팀이 한 번도 10명을 넘은 적이 없습니다.
게다가 시스템이 실제로 안전한지보다는 규정 준수와 체크박스 채우기에만 온통 매달리죠.
안전한 소프트웨어를 제대로 짜는 데 쓰이지 않고, C 포인터 뒤치다꺼리하는 데 쓰였으니까요.
곁다리 이야기일 수 있는데, 작은 LLM에게 스스로 웜이 되어서 자기가 아는 모든 익스플로잇을 쓰고, 접근 권한을 얻으면 다른 LLM에게 프롬프트를 보내라고 시키는 일이 얼마나 가까워졌는지 궁금합니다.
HN의 여러 글 아래에서 이 이야기가 몇 번 나오는 걸 봤고, AI 안전 쪽에서도 위험으로 거론되는 걸 봤어요.
'AI 프롬프트 웜'이라고 부르는 것 같아요. 모델 가중치 전체가 '바이러스'와 함께 옮겨 다니는 자율적 AI 단계까지는 아니지만, 그래도 꽤 큰 위험입니다.
결함으로 분류하는 기준이 너무 낙관적인 것 같아요.
예를 들어 "사람들이 돈 내고 쓰는 AI로, 역시 돈 내고 쓰는 자기 은행 계정에 접근한다"는 건 딱히 악용된 CVE가 아니잖아요.
단순한 조직 역학입니다. 악당들이 새 도구를 더 빨리 받아들이고 있는 거죠. 규모가 큰 (방어 쪽) 조직들이 따라잡으면 상황은 가라앉을 겁니다.
어라. 제가 몇 달 전에 만든 것과 꽤 상호 보완적으로 보이네요.
https://supplychain.fail/
(CVE 심각도 타임라인)
AI가 만든 페이지는 하나같이 너무 많은 정보를 너무 좁은 곳에 욱여넣으려 하네요.
저는 괜찮은데요. 아무것도 하거나 읽을 수 없는 2007년 아이폰용 휑한 페이지보단 낫잖아요.
싫은 건 이제 모든 사이트가 똑같이 생겼다는 거죠.
저는 안 괜찮아요. 다들 똑같은 글꼴, 색, 레이아웃을 쓰는 것 같아요. LLM이 내놓는 뻔한 색상 팔레트를 바꿀 시간 1초도 안 들이는 것 같고요.
이런 스타일은 모델이 업데이트된 뒤에야 바뀌는데, 그러면 또 다들 새 글꼴을 쓰기 시작하죠. 아마 빨간색 필기체에 베이지색 배경 같은 거요.
링크를 누르기 전부터 이 사이트가 어떻게 생겼을지 알았어요.
너무 못생기고 독창성이 없어서, 전하려는 내용이나 정보에도 전문성이나 독창적인 통찰이 전혀 없을 거라고 짐작하게 됩니다.
어제 이 주제가 화제가 됐고, 이 사람은 LLM을 써서 관심 끌기용으로 만든 거예요. 말 그대로 이 주제가 화제가 된 뒤 딱 하루 주목받으려고 만든 겁니다. 3개월 뒤에는 존재하지도 않을 거예요.
수정: 알고 보니 화제의 주제에 편승해서 150달러짜리 광고 자리를 팔고, 아마 바이브코더용 299달러짜리 클럽도 홍보하려는 시도네요.
그리고 '종료됨'이라고 적힌 상자 안에 '진행 중'이라고 쓰여 있는 것처럼 쓸모없거나 헷갈리는 정보도 많죠.
맞아요... 마음에 들어요! 여백 따위 박살 나라!
보안은 늘 고양이와 쥐의 싸움이었는데, 지금은 그저 고양이와 쥐가 엄청나게 많이 날뛰고 있는 것뿐입니다.
Mythos를 처음 8시간 써 본 뒤에 어떻게 생각하느냐는 질문을 받았습니다. 저는 "이번 세대 LLM이 세상이 지금까지 본 것 중 가장 큰 보안 사고의 물결을 일으킬 것"이라고 답했습니다.
이제 막 시작일 뿐입니다.
모든 세대의 LLM이 다 그렇지 않나요?