AI, 리눅스 커널 948개 보안 취약점 발견 및 악용법까지 개발

OpenAI의 자율 사이버 보안 시스템이 리눅스 커널에서 948개의 취약점을 발견하고, 이를 악용하는 방법까지 개발했다고 밝혀 IT 업계에 큰 파장을 일으키고 있다. 이번 연구는 약 121만 달러의 API 크레딧 비용이 소요되었으며, 이는 개별 취약점당 약 1,279달러에 해당하는 금액이다. 특히, 더 발전된 AI 모델은 이전 버전보다 5배 이상의 취약점을 찾아내는 놀라운 성과를 보였다.

OpenAI는 이와 함께 잠재적인 수정 방안까지 제시했으나, 최종적인 검증과 적용은 여전히 인간 전문가와 소프트웨어 유지보수 담당자의 몫임을 강조했다. 이번 연구 결과는 수요일에 발표된 OpenAI의 보고서를 통해 공개되었다.

리눅스 커널은 전 세계 클라우드 서버, 안드로이드 기기 등 핵심 컴퓨팅 인프라의 근간을 이루는 소프트웨어다. OpenAI의 실험에서 식별된 결함은 '로컬 권한 상승 취약점'으로, 공격자가 취약한 시스템에 이미 제한적인 접근 권한을 가지고 있다면, 이를 통해 루트(root) 권한을 획득하여 시스템 전체를 장악할 수 있는 가능성을 내포하고 있다.

**948개 결함, 1,169개 작동 가능한 악용 코드**

OpenAI의 AI 에이전트는 약 280만 줄에 달하는 리눅스 커널 코드, 즉 전체 프로젝트의 약 7%를 대상으로 스캔 작업을 수행했다. OpenAI는 "우리의 프로토타입은 2,308개의 잠재적 리눅스 커널 결함을 식별 및 분석했으며, 1,724개의 취약점을 동적으로 재현하고, 일반 사용자가 루트 접근 권한을 얻을 수 있는 948개의 로컬 권한 상승(LPE) 악용 코드를 생성했다"고 설명했다. 이러한 악용 코드들은 근본 원인과 제안된 수정 방안에 따라 그룹화되었으며, 최종적으로 948개의 고유한 취약점이 확인되었다.

지난 10월에 진행된 이 작업에는 1,213,430달러의 API 크레딧 비용이 투입되었다. 이는 취약점당 평균 1,279달러 수준이다. OpenAI는 과거 해킹 대회에서 리눅스 권한 상승 취약점에 대해 2만 달러에서 7만 달러까지의 상금이 지급되었던 사례와 비교하며, 만약 동일한 결과를 수작업으로 찾아냈다면 약 1,890만 달러에서 6,630만 달러에 달하는 가치를 가질 수 있다고 추정했다.

앞서 지난 7월, 이전 버전의 GPT-5.6 Sol 캠페인에서는 513,690달러의 비용으로 166개의 고유한 권한 상승 취약점을 발견한 바 있다. 이번에 사용된 최신 버전의 사이버 AI 모델은 리눅스 커널이 이미 수개월간의 패치를 거친 이후에도 5배 이상의 취약점을 찾아내는 놀라운 능력을 보여주었다.

더욱 주목할 점은 OpenAI의 AI 에이전트가 연구원 및 외부 전문가들이 자문한 결과, 기존에 알려지지 않은 최소 10가지의 새로운 악용 기술을 사용했다는 사실이다. 이는 단순히 훈련 데이터에서 습득한 기존의 해킹 기법을 재활용한 것이 아님을 시사한다.

**해커들이 동일한 도구를 갖게 된다면?**

AI 기업들이 중요한 버그를 발견하는 것은 시스템이 상당한 인간 전문 지식을 요구했던 첨단 사이버 보안 연구를 수행할 수 있음을 입증하는 또 다른 증거이다. 이는 AI 기술이 보안 분야에서 강력한 잠재력을 지니고 있음을 보여준다.

지난주, 앤트로픽(Anthropic) 역시 아직 출시되지 않은 클로드(Claude)의 버전이 크롬 및 리눅스를 포함한 널리 사용되는 소프트웨어에서 심각한 취약점을 발견하고 이를 악용했다고 공개한 바 있다. 이 중 일부 악용은 원격에서 악성 코드를 실행할 수 있는 가능성을 내포하고 있으며, 이는 AI 기반 공격의 위험성을 경고한다.

전문가들은 이번 OpenAI의 연구가 AI가 보안 연구의 효율성을 극대화할 수 있음을 보여주는 동시에, 이러한 강력한 도구가 악의적인 행위자의 손에 들어갈 경우 발생할 수 있는 심각한 위험에 대한 경각심을 높이고 있다고 지적한다. 앞으로 AI와 사이버 보안의 관계는 더욱 복잡하고 첨예한 양상으로 전개될 것으로 전망된다. 이에 따라 AI 기반 보안 위협에 대한 대비와 AI 기술의 책임감 있는 사용에 대한 논의가 더욱 중요해질 것으로 보인다.