OpenAI Patch the Planet: 주요 PHP 취약점에 대한 글로벌 대응 조정
AI 기반 발견 및 PHP 취약점의 글로벌 조정
OpenAI는 연구자 및 보안 공급업체와 협력하여 오픈소스 프로그래밍 언어인 PHP의 주요 취약점을 해결하기 위한 연합을 이끌었습니다. Patch the Planet 이니셔티브의 일환으로 GPT-5.6 Sol을 사용하여 치명적인 결함이 식별되었으며, 해당 취약점은 Wiz에 의해 독립적으로 발견되고 보고되었습니다.
PHP의 광범위한 사용을 고려할 때, 이번 사건은 최근 가장 영향력 있는 보안 문제 중 하나로 간주됩니다. 이번 발견은 AI가 인터넷 규모의 영향을 미치는 보안 결함을 발견할 수 있는 능력을 강조하는 동시에, 동일한 능력이 공격자에 의해 악용되어 빠르게 익스플로잇을 개발할 수 있는 위험도 부각시킵니다.
결정적으로, 프론티어 AI는 공격자보다 먼저 이러한 취약점을 발견하여 수비자의 창(Defender's Window)을 확보했고, 이를 통해 유지보수자와 보안 공급업체가 공개 전에 수정 사항과 보호 조치를 준비할 시간을 얻을 수 있었습니다.
PHP를 사용하는 조직의 경우, 즉시 사용 가능한 수정 사항을 적용하는 것이 최우선 과제입니다. OpenAI는 운영자가 취약한 버전을 식별하고 적용 가능한 업데이트를 결정할 수 있도록 Codex 스킬로 PHP 버전 확인 도구를 제공했습니다.
5단계 조정 대응 프레임워크
널리 사용되는 소프트웨어 패치의 복잡성을 관리하기 위해 OpenAI는 AI 시대의 주요 취약점 대응을 위한 5단계 프레임워크를 제안합니다. 이 반복 가능한 프로세스는 새로운 취약점이 발견될 때 팀이 신속하게 대응할 수 있도록 돕습니다.
1. 업스트림 취약점 검증 및 수정
유지보수자, 연구자 및 필수 기술 파트너가 발견 사항을 확인하고 영향을 평가하며 수정 사항을 개발하고 테스트합니다. 이 단계에는 잠재적인 우회 방법과 취약점의 관련 변종을 식별하기 위해 프론티어 모델을 사용한 적대적 테스트가 포함됩니다.
2. 영향을 받는 조직에 대응 시간 제공
보호 조치를 준비하기 위해 사전 정보가 필요한 조직을 결정하는 프레임워크가 제안됩니다. 여기에는 아웃리치, 정보 공유 계약 및 팀 간 조정이 포함됩니다. 조치에는 배포자가 이전 릴리스에 대한 수정 사항을 적용하거나, 호스팅 제공업체가 완화 조치를 테스트하거나, 보안 공급업체가 WAF(웹 애플리케이션 방화벽) 규칙과 같은 탐지 조치를 준비하는 것이 포함될 수 있습니다.
3. 정부 파트너와 협력하여 중요 시스템 보호
정부 기관은 광범위한 대응을 조정하고 중요 인프라를 관리하는 조직에 보안 지침이 전달되도록 하는 데 필수적입니다. PHP 사례에서 OpenAI와 파트너는 백악관의 슈퍼 인텔리전스 포스, 국가 사이버 국장실(ONCD), 사이버 보안 및 인프라 보안국(CISA)을 포함한 미국 정부의 여러 부서 및 국제 파트너와 협력했습니다.
4. 영향을 받는 제품 전반에 걸친 업데이트 준비
수정 사항, 지침 및 공개 계획이 안정화되면 유지보수자는 추가 배포자, 호스팅 및 서비스 제공업체, 대응 팀 및 운영자를 참여시켜 필요한 업데이트를 준비하고 적용 범위의 공백을 해결합니다.
5. 지침 게시 및 배포 지원
공개 지침을 통해 사용자는 노출을 평가하고 권위 있는 업데이트 또는 임시 완화 조치를 찾고 수정 사항이 실행 중인지 확인할 수 있습니다. 이 단계는 운영자가 업데이트를 배포하고 필요한 지원을 보고함에 따라 계속됩니다.
수비자 역량 및 리소스 확장
글로벌 조정은 오픈소스 소프트웨어를 유지 관리하는 소규모 팀을 지원하는 데 의존합니다. OpenAI는 수비자가 취약점 발견, 시스템 모니터링 및 위협 대응에 고급 AI 기능을 활용할 수 있도록 모델, 도구 및 파트너십에 투자하고 있습니다.
OpenAI의 투자는 다음을 포함합니다:
- Codex for OSS: 모든 유지보수자에게 구독 제공.
- 직접 후원: Rust 재단과 같은 프로젝트 후원.
- 실무 지원: 오픈소스 프로젝트는 Patch the Planet에 직접 엔지니어링 지원을 신청할 수 있습니다.
또한 OpenAI는 제한된 보안 리소스로 필수 서비스를 보호하는 조직에 중점을 두고 Daybreak for Frontline Defenders를 통해 10억 달러의 보조금이 적용된 Daybreak 액세스를 약속했습니다.
OpenAI는 또한 수비수에게 유능한 모델에 대한 광범위한 액세스를 제공해야 하는 필요성과 유해한 오용을 제한해야 하는 필요성 사이의 균형을 맞추기 위해 Daybreak에 대한 차단 분류기를 개선하고 있습니다.
더 안전한 소프트웨어 기반 구축
개별 버그 수정을 넘어, 장기적인 목표는 엔지니어가 초기 설계 단계부터 더 안전한 소프트웨어를 구축하도록 돕는 것입니다. AI는 취약점을 예방하거나 영향을 제한하기 위해 몇 가지 주요 영역에서 도움을 줄 수 있습니다:
- 시작부터 안전한 코드: 코딩 모델은 개발자가 더 안전한 기본값을 선택하고, 보안 라이브러리를 올바르게 사용하며, 개발 중에 위험한 패턴을 식별하도록 도울 수 있습니다.
- 메모리 안전 소프트웨어: AI는 테스트와 전문가 검토를 통해 동작 호환성을 보장하면서 중요 구성 요소를 메모리 안전 언어로 마이그레이션하는 데 도움을 줄 수 있습니다.
- 형식 검증: 널리 사용되는 구성 요소에 수학적 증명을 적용하여 지정된 보안 속성을 충족함을 입증하고 전체 취약점 클래스를 배제할 수 있습니다.
- 더 강력한 격리: 신뢰할 수 없는 파일을 처리하는 소프트웨어를 엄격하게 제한된 샌드박스에서 실행하면 취약점이 악용될 때 피해를 제한할 수 있습니다. AI는 이러한 샌드박싱 기술을 테스트하고 강화하는 데 도움을 줄 수 있습니다.
접근 방식 개선을 위한 의견 수렴
OpenAI는 제안된 취약점 대응 프레임워크를 개선하기 위해 유지보수자, 연구자, 대응 팀, 제공업체 및 운영자로부터 피드백을 구하고 있습니다. 관심 분야는 다음과 같습니다:
- 공개 창: 유지보수자와 운영자가 안정적인 수정 사항을 준비하고 배포하는 데 필요한 시간과 조기 공개를 촉발해야 하는 증거 결정.
- 긴급 패치: 관리 액세스 권한을 잃은 후 정부 또는 운영자가 취약점을 사용하여 시스템을 패치해야 하는 경우의 보호 장치 정의.
- 조기 통지: 보호 조치를 위해 사전 경고가 필요한 사람과 유출 위험과 적용 범위의 균형을 맞추는 방법 설정.
- 기본 보안 패키지: 업스트림 수정이 보류되는 동안 다운스트림 패키지의 취약점을 식별하고 수정하거나 이전의 지원되지 않는 버전으로 수정 사항을 백포팅하는 방법 찾기.