new1cm

10월 21일 밤 11시, 네덜란드 시민들이 세금 신고와 각종 정부 신청에 쓰는 로그인 창구 DigiD가 꺼졌다. 같은 날 핀란드와 프랑스, 독일의 정부 사이트도 스스로 문을 닫았다. 정부를 세운 건 전쟁도 랜섬웨어(컴퓨터를 잠그고 돈을 요구하는 악성 프로그램)도 아니었다. 웹사이트를 짓는 데 쓰는 프로그래밍 언어 PHP의 구멍 두 개였다. 내가 보는 핵심은 여기다. 14년 동안 아무도 못 찾은 구멍을 AI가 여름 한 철에 찾아냈고, 그 AI가 며칠 만에 공격 코드까지 만들어냈다. PHP는 웹사이트의 골격을 짜는 도구다. 전 세계 웹사이트의 70%가 이 언어로 돌아간다. 그중 로그인 없이 서버를 통째로 장악할 수 있는 구멍이 두 개 나왔다. 위험도는 10점 만점에 9.2점이다. 고친 판은 8.5.12, 8.4.27, 8.3.36, 8.2.35 네 가지다. 패치(구멍을 막는 수정 파일)를 받고 서버를 다시 시작해야 효력이 생긴다. 문제는 이 구멍이 2012년 판부터 있었다는 점이다. 14년 동안 수많은 사람이 이 코드를 읽었고, 아무도 못 봤다. 찾은 쪽은 사람이 아니었다. 8월에 보안업체 Calif가 오픈AI의 모델로 첫 구멍을 신고했고, 구글 계열 Wiz도 다른 모델로 같은 구멍을 따로 찾아냈다. 사람들은 2년 전에 이론만 세워두고 손을 못 대고 있었다. 모델은 몇 주 만에 그 이론을 실제로 뚫리는 구멍으로 바꿨다. 그런데 같은 도구가 반대편에도 힘을 실어줬다. 패치가 나오기 하루 전, 취약점 내용이 SNS로 새어 나갔다. 곧바로 AI로 찍어낸 공격 코드가 보안업체 감시망에 걸렸다. 발견이 빨라진 만큼 무기화도 빨라졌다. BBC는 "아직 성공한 공격은 보고되지 않았다"고 썼다. 나는 이 문장을 안심의 근거로 보지 않는다. 이 구멍은 사이트 코드가 실행되기 전에 뚫린다. 그래서 사이트 로그에는 흔적이 남지 않는다. 아마존 위협정보팀은 이미 10월 17일, 패치가 나오기 나흘 전에 공격 시도를 잡아냈다. 보고가 없는 건...