난이도 · 중급 | 입문 글의 방법을 익힌 뒤 업무에 반복 적용하려는 분께
PS5 해킹계에서 한 연구자가 묻어 두려던 버그를, AI를 쓴 다른 사람이 몇 시간 만에 다시 찾았습니다. 리눅스 커널 보안팀은 이런 일이 흔해지자 “AI로 찾은 버그는 이미 공개된 것으로 취급한다”는 규정을 넣었습니다. AI가 바꾼 것은 위험의 강도보다 비밀이 지켜지는 기간입니다.
결론부터
1. AI로 취약점을 찾았다면 다른 누군가도 같은 시기에 찾았을 가능성이 높으니 신고를 서두르세요.
2. 일반 사용자는 단순합니다. 보안 업데이트를 미루지 마세요. 취약점이 알려지는 속도가 빨라졌습니다.
3. 다만 “AI가 위험한 버그를 쏟아낸다”는 이야기는 데이터와 맞지 않는 부분이 있습니다. 아래 수치를 보세요.
그래서 이렇게 하세요
개발자·보안 담당자
- AI 도구로 취약점을 찾았다면 비공개 유예에 기대지 말고 바로 신고 일정을 잡으세요. 리눅스 커널 보안팀은 통상 패치 발표를 최대 7일(예외적으로 14일)까지 비공개로 유예해 주지만, AI로 찾은 버그에는 이 유예를 주지 않기로 했습니다.
- AI로 만든 신고서는 재현 방법과 영향 범위를 사람이 검증한 뒤 제출하세요. 검증되지 않은 자동 신고가 늘면서 버그 바운티가 줄줄이 축소됐습니다.
- 내 프로젝트가 받는 쪽이라면 중복 신고와 무효 신고를 걸러내는 절차(재현 필수 항목, 템플릿)를 만들어 두세요.
일반 사용자
- 운영체제·브라우저·앱의 자동 업데이트를 켜 두세요.
- 출처가 불분명한 “무료 풀림 도구”를 설치하지 마세요. 이번 사례의 해적판 스토어 같은 것은 보안과 법적 위험이 함께 있습니다.
무슨 일이 있었나
| 단계 | 확인된 것 | 확인되지 않은 것 |
|---|---|---|
| 취약점 탐색 | PS5 하이퍼바이저 버그를 묻어 두려던 연구자의 계획이, AI를 쓴 다른 사람의 재발견으로 몇 시간 만에 깨짐(신고자 발언 기준) | 재발견에 쓰인 구체적 AI 도구 |
| 중간 체인(탈옥) | 웹브라우저와 커널 취약점을 엮는 2단 구조의 Relapse에서 AI 사용 기록은 공개되지 않음 | AI를 전혀 쓰지 않았는지 여부 |
| 해적 스토어 | Overdrive 공개 사본의 커밋 9건 중 6건에 Claude Opus 5.5 공동작성자 표기, 작업 설정 파일 존재 | 최초 골격을 짤 때 AI가 얼마나 관여했는지(초기 이력이 한 커밋에 합쳐져 있음), 앤트로픽과 소니의 입장 |
수치로 보면
| 항목 | 수치 |
|---|---|
| 리눅스 커널 보안 신고 접수량 | 2년 전 주 2~3건에서 최근 하루 5~10건(커널 보안팀 엔지니어 증언) |
| 오픈SSL 취약점 1건의 개별 접수 | 7주 사이에 6회 |
| AI 발견으로 분류된 취약점 중 실제 공격에 쓰인 비율 | 1061건 중 14건(1.3%, 벌른체크) |
| 과거 중복 발견 비율(참고) | 전체 취약점의 15~20%가 1년 안에 2회 이상 독립 발견(하버드대 벨퍼센터 연구진 집계) |
AI가 바꾼 것은 위험의 강도보다 비밀의 수명입니다. 오픈SSL 권고문에 포함된 세 건은 모두 위험도 “낮음”이었고, 바운티가 닫힌 직접적 원인도 고난도 버그의 충돌보다는 저품질 신고의 범람이었다고 원 기사는 정리합니다.
이 글의 판단: 뉴스가 과열돼도 일반 사용자의 대응은 달라지지 않습니다. 업데이트를 미루지 않는 것입니다. 개발자에게는 AI로 찾는 일이 쉬워질수록 재현 방법이 분명한 신고서의 가치가 올라간다고 봅니다.
버그 바운티는 어떻게 줄었나
원 기사가 정리한 사례를 날짜순으로 옮겼습니다. 공통 원인은 자동화 도구가 쏟아낸 무효·중복 신고였습니다.
| 시기 | 주체 | 변화 |
|---|---|---|
| 1월 31일 | curl | 바운티 종료 선언. 2019년부터 확인된 취약점 87건에 10만달러 이상 지급해 온 창구 |
| 3월 27일 | 해커원 | 오픈소스 공동 보상 프로그램 IBB 운영 중단. Node.js 재단도 바운티 운영 중단 |
| 7월 | 깃허브 | 일반 공개 보상 상한을 1만달러로 제한하고 검증된 연구자 대상 초청제 상위 등급 신설 |
| 10월 1일 | 구글 | 오픈소스 보상 프로그램에서 제품 취약점 접수 중단 |
| (시기 미상) | 버그크라우드 | 자동 제출물로 검토 대기열이 3주 만에 334% 급증, AI 생성 신고를 찍어내는 계정 영구 정지 |
자주 묻는 질문
Q. AI로 찾은 취약점을 왜 즉시 공개된 것으로 보나요?
같은 AI 모델과 탐색 도구를 쓰는 연구자들이 같은 취약점에 거의 동시에 도달하기 때문입니다. 리눅스 커널 보안팀은 같은 날 여러 연구자가 중복 신고하는 현실을 반영해 이렇게 규정을 바꿨습니다.
Q. PS5 해적 스토어는 AI가 전부 개발했나요?
공개 사본에서 클로드 코드 설정 파일과 작업 지시 스킬이 확인됐고, 커밋 9건 중 6건에 클로드 오푸스 5.5가 공동작성자로 올라 있습니다. 다만 초기 이력이 한 커밋에 합쳐져 있어 최초 개발 단계의 AI 기여도는 알 수 없습니다. 탈옥의 기반인 Relapse 체인에서는 AI 사용 기록이 확인되지 않았습니다.
Q. 버그 바운티 생태계가 정말 줄고 있나요?
오픈소스 중심으로 중단되거나 진입 장벽이 높아지는 추세입니다. 위 표가 대표 사례입니다.
일반 사용자를 위한 점검 목록
- 휴대폰과 PC의 자동 업데이트가 켜져 있는지 확인합니다.
- 브라우저와 확장 프로그램도 최신 버전인지 봅니다.
- 쓰지 않는 앱과 오래된 확장 프로그램은 삭제합니다.
- 공식 스토어가 아닌 곳에서 받은 프로그램은 설치하지 않습니다.
아직 모르는 것
- 탈옥 체인 완성 단계에서 AI가 쓰였는지는 공개 기록상 확인되지 않았습니다.
- 다른 오픈소스 프로젝트들이 리눅스 커널과 같은 규정을 도입할지는 알려지지 않았습니다.
- 앤트로픽과 소니는 Overdrive 개발에 클로드가 쓰인 경위와 대응에 대해 기사 출고 시점까지 답하지 않았습니다.
출처와 확인 날짜
아래 내용은 2026년 10월 19일에 확인했습니다.
- AI인사이트저널: PS5 해적 스토어 공동작성자는 클로드…AI가 무너뜨린 해킹의 양 끝 (커밋 기록, 커널 규정, 바운티 축소 사례 등 전체 분석)
답글 남기기