AI, 비트코인 코어 보안 규칙 변경 촉발…버그 악용 쉬워져

비트코인 코어 개발팀이 인공지능(AI)의 발달로 인해 코드 버그를 찾는 것이 쉬워진 현실을 반영하여 보안 정책을 변경했다고 밝혔다. 이번 정책 변경으로 과거 수개월간 유지되던 취약점 비공개 정책이 축소되고, AI가 쉽게 발견할 수 있는 버그의 경우 신속하게 공개 및 패치하는 방향으로 전환된다.

이전에는 비트코인 코어 소프트웨어의 취약점이 발견되면 심각도에 따라 일정 기간 동안 비공개로 유지하는 '엠바고' 정책을 적용해왔다. 이는 공격자가 패치되지 않은 취약점을 악용하기 전에 노드를 운영하는 일반 사용자들이 먼저 업데이트를 완료할 수 있도록 보호하기 위한 조치였다. 특히, 중대하거나 높은 심각도를 가진 취약점은 해당 취약점에 영향을 받는 버전의 지원이 종료된 후 2주가 지나야 공개되었다.

하지만 AI 기술, 특히 대규모 언어 모델(LLM)의 발전은 이러한 전통적인 보안 방식에 변화를 가져왔다. LLM은 복잡한 코드에서도 특정 유형의 취약점을 식별하거나 잠재적인 수정 사항을 파악하는 데 드는 시간과 노력을 획기적으로 줄였다. 이로 인해 과거에는 상당한 전문 지식을 요구했던 버그 발견이 AI를 통해 매우 용이해졌으며, 이러한 '쉽게 재발견될 수 있는' 취약점의 보고 수가 증가했다.

체인코드 랩스(Chaincode Labs)의 개발자인 앙투안 푸아송(Antoine Poinsot)은 이번 정책 변경 제안서에서 “최근 AI 도구의 확산으로 인해 특정 유형의 문제를 발견하거나 숨겨진 수정 사항을 식별하는 데 필요한 진입 장벽이 크게 낮아졌다”고 설명했다. 그는 이러한 변화가 기존의 엠바고 정책을 무력화시키고 있다고 지적했다.

새로운 정책에 따라, AI 프롬프트를 통해 쉽게 발견될 수 있다고 판단되는 버그는 '쉬운 발견 가능성'으로 분류된다. 이러한 버그에 대한 수정 사항은 코어가 지원하는 모든 버전에 신속하게 백포트(backport)되며, 가능한 한 빨리 패치 릴리스를 통해 배포될 예정이다. 또한, 보안 권고문을 통해 해당 취약점에 대한 간략한 정보가 함께 제공될 것이다.

이번 정책 변경은 AI를 활용한 보안 취약점 보고의 급증 추세를 반영한 결과이기도 하다. 최근 390개의 비트코인 관련 프로젝트를 대상으로 한 검토에서는 4,962개의 잠재적 결함이 발견되었으며, 이 중 85개는 치명적인 것으로 분류되었다. 이는 AI가 기존 보안 감사에서 놓칠 수 있었던 부분들을 효과적으로 찾아낼 수 있음을 시사한다.

하지만 새로운 정책은 테스트 및 검증 과정에 대한 우려도 동시에 제기하고 있다. 푸아송은 “발견하기 쉬운 문제에 대해서는 기존의 엠바고 정책이 잘못된 절충안”이라면서도, “수정 사항이 사용자에게 도달하기 전에 충분한 ‘숙성 시간(bake time)’을 거치지 못할 가능성이 있다”고 언급했다. 즉, 사용자들은 더 빠르게 패치를 받을 수 있지만, 해당 패치가 완벽하게 테스트되었는지에 대한 불확실성이 다소 증가할 수 있다는 의미다.

일부 개발자들 사이에서는 이번 정책 변경의 범위에 대한 이견도 존재했다. 비트코인 보안 연구원인 앙투안 리아르(Antoine Riard)는 경우에 따라서는 수정 사항을 바로 공개하지 않고 세부 정보를 숨긴 채 릴리스할 수 있는 옵션을 유지해야 한다고 주장했다. 그러나 푸아송은 “구체적인 내용 없이 보안 취약점에 대해 사용자에게 알리는 것은 불필요하게 더 큰 위험을 초래할 수 있다”며, “사용자들이 서둘러 마이그레이션을 시도할 수 있다”고 반박하며 그의 의견을 수용하지 않았다.

이번 비트코인 코어의 보안 정책 변화는 AI가 암호화폐 생태계의 보안 환경에 미치는 영향을 명확히 보여주는 사례다. AI 기술의 발전은 보안 취약점을 탐지하는 능력을 향상시키지만, 동시에 기존의 보안 프레임워크와 정책에 대한 재검토를 요구하고 있다. 향후 비트코인 코어는 AI 시대에 맞춰 더욱 빠르고 효과적인 보안 대응 체계를 구축해 나갈 것으로 전망된다. 개발팀은 AI의 잠재력을 활용하는 동시에, 새로운 정책이 가져올 수 있는 잠재적인 테스트 부족 문제에 대한 해결책을 모색하며 균형을 맞추는 과제를 안고 있다. 이는 향후 암호화폐 보안 분야 전반에 걸쳐 AI와 보안 정책의 상호작용에 대한 중요한 시사점을 제공할 것이다.