소프트웨어를 더 쉽게 깨뜨릴 수 있게 하는 연구소들이 방어 도구도 판매합니다. 이번 달의 보안 사건은 이 사업 모델을 살펴봐야 하는 이유와, 더 큰 API 청구서가 붙은 또 다른 블랙박스가 답이 될 수 없는 이유를 보여 줍니다.
AI 업계에서 불편한 영업 논리가 형성되고 있습니다. 모델이 인프라의 균열을 찾을 만큼 강력해지고 있으니, 그 균열을 메우는 데도 모델을 사용해야 한다는 것입니다.
저는 그 청구서를 AI 보안세. 구독료만 포함되는 것은 아닙니다. 소프트웨어를 지속적으로 조사하는 기계에 뒤처지지 않기 위해 필요한 엔지니어링 시간, 추론 비용, 긴급 패치, 운영 복잡성도 포함됩니다. 소규모 팀은 밤과 주말로 값을 치릅니다. 대규모 조직은 보안 인프라 계층을 추가하며 비용을 냅니다.
10월 사건은 그 전망을 구체화합니다. 동시에 지나치게 깔끔한 이야기를 만들기 쉽게 합니다. 전 세계적인 AI 공격 물결 하나, 외국의 범인 하나, 치료제를 가진 공급업체 하나. 증거는 더 흥미로운 주장을 뒷받침합니다. 오래된 버그, 훼손된 신뢰, 도난된 자격 증명, 점점 더 유능해지는 에이전트가 상호작용합니다. 모두 원인이 같은 것은 아닙니다.
보도 내용은 2026년 10월 24일에 확인했습니다. 이 글은 해당 흐름과 관련된 주요 사건 및 Linux 취약점 계열을 분석하며, 모든 Linux CVE를 망라하지는 않습니다. 아래 날짜는 최초 공개와 다시 주목받은 시점을 구분합니다. 사건 세부 내용과 공급업체 패치 상태는 달라질 수 있습니다.
분주했던 한 달, 여러 종류의 실패
10월 21일 PHP는 인증 없이 가능한 원격 코드 실행 취약점 두 건에 긴급 수정 사항을 배포했습니다: CVE-2026-109618 및 CVE-2026-109619, 둘 다 9.2점입니다. 하나는 메모리 부족 처리 중 메모리 손상을 포함하고, 다른 하나는 오래된 요청 상태와 관련됩니다. 런타임 문제이므로 애플리케이션 코드만 수정해서는 충분하지 않습니다. CERT-EU 권고문 영향받는 분기와 긴급성을 명시합니다.
여기에는 문서화된 AI 연관성이 있습니다. OpenAI는 연구에서 Calif는 GPT-5.6 Sol을 사용했고, Wiz도 두 결함을 독립적으로 보고했습니다. PHP 유지관리자가 수정과 출시를 주도했습니다. 공로는 인간과 모델의 협력에 있으며, 챗봇이 혼자 해낸 일이 아닙니다.
최초 수정 릴리스는 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35입니다. 배포판 공급업체는 다른 패키지 버전에 수정 사항을 백포트할 수 있습니다. 특히 CERT-EU는 10월 23일 권고문을 업데이트해 CVE-2026-115560, 비정상적인 구성과 관련된 세 번째 RCE 문제입니다. PHP는 위험 가능성이 낮다고 판단해 긴급 릴리스를 계획하지 않았으며, 권고문은 임시 완화책을 제공합니다. 수요일 패치 발표에서 멈춘 이야기는 이미 불완전합니다. PHP 공식 릴리스를 확인하세요 그리고 현재 공급업체 지침입니다.
Linux 이야기는 무서운 헤드라인 하나보다 큽니다
최근의 중대한 커널 보고는 주목할 만합니다. 슬로바키아의 CSIRT는 10월 23일 경고했습니다 공개된 취약점 보고에 관한 내용으로, KSMBD 파일 서버 문제 두 건은 9.0점을 받았습니다: ZDI-CAN-33549 및 ZDI-CAN-33774. 전제 조건이 서로 다릅니다. 하나는 SMB Direct/RDMA와 관련되고, 다른 하나는 프로토콜 디스패치와 공유 접근에 연결된 쓰기 경로에 관한 것입니다. 노출 여부는 실제 사용 중인 서비스와 구성에 달려 있습니다. ZDI 자체 목록 식별자와 점수를 확인합니다.
권고문이 공개됐을 당시 해당 보고 두 건은 아님 CVE 식별자가 있습니다. 이 구분은 중요합니다. CVE를 기다리는 동안 심각한 문제가 무해해지는 것은 아니며, 심각도 점수가 모든 Linux 장비의 노출을 뜻하지도 않습니다. 관리자는 영향을 받는 서비스 접근을 제한하고 배포판 공급업체의 실제 수정 상태를 추적해야 합니다.
또한 중대한 CVE가 할당됨 최근 Linux 논의에서: CVE-2025-39682, 커널 TLS 수신 경로의 결함입니다. NVD는 9.8 점수와 CISA의 알려진 악용 참조를 기재합니다. 이는 올해 10월에 처음 발견된 것이 아니라 2025년 9월에 처음 공개됐습니다. Red Hat은 자사 제품을 다르게 평가합니다, 보편적 점수와 공급업체의 실제 노출 평가가 서로 다를 수 있음을 보여 줍니다.
관련 Linux 상황의 일부일 뿐입니다:
Copy Fail — CVE-2026-31431
커널 페이지 캐시 결함을 AI 지원으로 발견해 4월 29일 공개했습니다. 영향을 받는 커널에서 로컬 권한 상승이 가능합니다. 원격 공격자는 여전히 로컬 실행에 이르는 최초 경로가 필요합니다. 연구자 공개.
Dirty Frag / Fragnesia — CVE-2026-43284, CVE-2026-43500, CVE-2026-46300
페이지 캐시 권한 상승 관련 문제는 5월에 공개됐습니다. 네트워크 구성 요소와 설정이 도달 가능성에 영향을 줍니다. Microsoft 조사는 관측된 활동과 개별 변형의 미확인 악용을 구분합니다. Microsoft 조사.
CrackArmor
AppArmor 취약점은 9건이며 패치 수준 CVE 식별자는 11개입니다. Ubuntu는 로컬 사용자 요건과 릴리스별로 다른 영향을 기록하며, 정책 우회와 권한 상승도 포함됩니다. Ubuntu 전체 매트릭스.
네트워킹 4종 — DirtyAH6, TUNderflow, PPPoEject, DiagSpill
CVE-2026-80844, CVE-2026-81000, CVE-2026-68121 및 CVE-2026-74469. 9월 보도는 namespace, capability, 모듈 요건이 서로 다른 로컬 루트 경로를 설명합니다. Red Hat 공지.
Vghost — CVE-2026-74580
특정 구성에서 로컬 권한 상승을 허용하고 VM 탈출 위험도 만들 수 있는 vhost 결함입니다. Tencent 권고문은 점검한 CVM 환경이 VM 탈출 경로에 노출되지 않았다고 명시합니다. Tencent 권고문.
기타 커널 경로 — CVE-2026-53266, CVE-2025-39964
첫 번째는 특정 bridge 규칙에서의 ebtables SNAT 문제이고, 두 번째는 동시 AF_ALG 쓰기 문제입니다. 요구 조건과 결과가 다릅니다. SNAT 평가; AF_ALG 평가.
실질적인 교훈은 다음을 구분하는 것입니다: 원격 진입 출처: 진입 후 일어나는 일. 공유 서버, 빌드 러너 또는 에이전트 호스트에서는 로컬 루트 취약점이 치명적일 수 있습니다. 임의의 인터넷 방문자가 로그인할 수 없더라도 마찬가지입니다. 애플리케이션 결함이나 도난 계정이 최초 발판이 될 수 있습니다. 모든 커널 관련 소식을 보편적인 원격 장악으로 취급하면 먼저 주의를 기울여야 할 시스템이 가려집니다.
암호화가 깨지지 않아도 자물쇠는 실패할 수 있습니다
인증서 사건은 다른 유형의 실패입니다. Mozilla에 따르면 10월 17일 eMudhra 중간 인증서 8개의 개인 키가 침해됐다는 보고를 받았습니다. 연결을 가로챌 수 있는 공격자는 부정하게 발급된 인증서를 이용해 사이트를 사칭할 수 있습니다. Mozilla는 그날 저녁 OneCRL을 통해 영향을 받은 인증서를 차단했고, 이후 Firefox와 신뢰 저장소 구성 요소를 업데이트했습니다. 그 대응에는 후속 Android 수정도 기록되어 있습니다.
인증 기관의 서명 키는 신원을 보증할 권한입니다. 키 침해는 그 신뢰 판단을 공격합니다. TLS 암호화를 수학적으로 깨뜨렸다는 뜻은 아닙니다. Mozilla의 설명도 LLM이 침해를 일으켰다는 점을 입증하지 않습니다.
OpenSSL 문제도 이 그림에 포함되지만 CA 사건과 혼동해서는 안 됩니다. 9월 권고문에는 X.509 확장 처리, 인증서 처리 중 자원 고갈, QUIC 및 기타 암호 라이브러리 결함이 포함됩니다. OpenSSL 권고 색인 영향받는 버전과 심각도를 구분합니다. 악성 인증서는 신뢰해서는 안 되는 인증서라도 소프트웨어 버그를 드러낼 수 있습니다.
Node.js의 10월 21일 보안 릴리스는 이 계층들을 연결합니다. eMudhra용 번들 CA 자료를 업데이트하고, 별개의 DNS, TLS 호스트 이름 검증 및 기타 런타임 문제를 수정합니다. Brotli 디코더 결함, CVE-2026-111497, 애플리케이션이 공격자가 제공한 압축 데이터를 처리할 때 메모리 손상과 원격 코드 실행을 허용할 수 있습니다. 프로젝트는 OpenAI Codex Security 연구자들에게 공을 돌립니다. Node 보안 공지 가장 심각한 문제를 High로 평가합니다. 공개된 수정 버전은 26.12.1, 24.22.1, 22.23.4입니다. 공식 릴리스 아카이브.
API 키가 전략적 자원이 되고 있습니다
LiteLLM 침해는 자격 증명 문제를 특히 구체적으로 보여 줍니다. 악성 1.107.0 패키지는 10월 21일 공개 레지스트리에 배포됐습니다. Microsoft는 애플리케이션이 LiteLLM을 명시적으로 가져오지 않아도 자격 증명 수집기를 작동시킬 수 있는 Python 시작 후크를 발견했습니다. 모델 공급자 키는 개발자 및 클라우드 자격 증명을 포함한 훨씬 광범위한 표적의 일부였습니다. 따라서 패키지 하나를 제거하는 일은 기계에 대한 신뢰를 복구하는 것과 같지 않습니다. Microsoft 조사 노출과 복구에 미치는 영향을 설명합니다.
LiteLLM의 후속 조사는 폐기되지 않은 노출된 마스터 키가 상위 공급망 침해의 출발점이었으며, 이후 강력한 개발자 자격 증명과 릴리스 프로세스에 접근했다고 설명합니다. 상위 공급망의 추론 API 토큰을 얻으려는 움직임도 보고합니다. 공식 사건 기록 초기 가정 일부를 바로잡습니다. 처음 널리 퍼진 설명을 고수하지 말고 조사 과정을 따라야 한다는 점을 상기시킵니다.
AI 자격 증명으로 부정한 클라우드 요금 청구 이상의 것을 살 수 있습니다. 추론, 코딩 지원, 다른 운영자의 활동을 숨길 장소도 살 수 있습니다. 접근 권한이 재판매되면 정당한 계정 소유자가 비용과 제재 위험을 지는 동안 다른 사람이 기능을 사용할 수 있습니다. 특정 도난 키를 누가 샀고 무엇에 썼는지는 여전히 증거가 필요합니다.
중국 연구소에 관한 증거가 말해 주는 것
무단 증류에 대한 우려에는 문서화된 근거가 있습니다. Anthropic은 9월 보고서에서 중국 기반 연구소에 귀속한 캠페인을 설명하고, 프록시 서비스가 사기 계정, 도난 결제 정보, 도난 API 자격 증명을 이용해 접근을 제공할 수 있는 방식을 설명합니다. 같은 보고서는 한 국가 집단이 아니라 여러 유형의 행위자가 수행한 악성 AI 지원 작전도 다룹니다. 이는 Anthropic이 귀속한 조사 결과이지, 주장된 모든 참여자에 대한 독립적인 판정은 아닙니다. 위협 보고서를 읽으세요.
OpenAI의 9월 30일 공개는 추론 추출 캠페인의 핵심 집단을 Moonshot AI 관련 인물에게 귀속합니다. 중요한 점은 그 캠페인이 암호화를 깨거나 데이터베이스를 침해하거나 저장된 사용자 대화에 직접 접근하지 않았다고 밝힌 것입니다. 수단은 모델 상호작용 조작이었습니다. OpenAI의 설명 다른 종류의 침해로 다시 묘사해서는 안 됩니다.
NSA, FBI, CISA도 중국 기반 AI 기업의 산업 규모 증류에 관해 9월 공동 경고를 냈습니다. 정부 권고 발표 심각하고 공개적으로 기록된 우려임을 보여 줍니다. 증류 자체는 여전히 정당한 학습 기법입니다. 쟁점은 승인, 접근, 데이터 획득 방식입니다.
나의 평가: 도난당한 추론 자격 증명과 무단 증류는 위협 경제의 현실적인 일부입니다. 위 출처들은 중국 연구소가 PHP 버그, eMudhra 키 침해, KSMBD 공개, LiteLLM 공격을 조직했다는 점을 입증하지 않습니다. 이를 하나의 캠페인으로 연결하려면 운영자, 인프라 또는 도난 자격 증명 사용을 잇는 증거가 필요합니다. 공통된 유인은 조사할 이유이지, 행위자 귀속의 대체물이 아닙니다.
상대편이 군집을 돌릴 수 있을 때
중요한 변화는 경제적입니다. 모델은 코드를 살펴보고 테스트를 제안하며 결과 조사를 도울 수 있습니다. 도구를 사용하는 에이전트에 넣으면 그 순환을 반복할 수 있습니다. 여러 에이전트를 병렬로 배치하면 운영자는 여러 가설을 동시에 탐색할 수 있습니다. 그렇다고 모든 시도가 옳거나 모든 표적이 취약해지는 것은 아닙니다. 지속적 조사가 더 저렴해진다는 뜻입니다.
구체적인 방어 사례는 OpenAI의 10월 23일 억제 보고서. 회사는 소스와 구성 접근, 모니터링, 범위가 정해진 목표를 갖춘 특수 제작 인프라 복사본을 테스트하는 에이전트 군을 설명합니다. VM 탈출과 격리 관련 발견, 그리고 다음을 포함한 커널 문제 작업을 보고합니다: CVE-2026-74753, CVE-2026-80521 및 CVE-2026-80841. 이러한 통제된 실험은 감독 없는 공개 봇이 어떤 서버든 침해할 수 있다는 증거가 아닙니다. 방어자들이 지속적인 기계 지원 테스트를 진지하게 받아들이는 이유를 보여 줍니다.
소규모 운영자에게 이는 눈에 띄지 않는다는 이점의 의미를 바꿉니다. 다른 호스트를 확인하는 비용이 낮으면 은밀함은 약한 방어가 됩니다. 팀이 본래 업무를 하는 동안 공격자는 계속 시도할 수 있습니다. 방어 대응은 경고를 더 많이 만드는 데 그치지 않고 신뢰할 만한 신호에서 검증된 수정까지의 경로를 단축해야 합니다.
유용한 방어 에이전트에는 경계가 필요합니다
제 생각에 첫 번째로 유용한 보안 에이전트는 꼼꼼한 조사자입니다. 배포된 소프트웨어와 접근 가능한 서비스를 지도화하고, 권고문을 실제 환경과 연결하며, 유지관리자가 조치할 수 있는 증거를 만듭니다. 두 번째 역할은 폐기 가능한 환경에서 제안된 수정 사항을 시험하는 것입니다. 어느 역할에도 제한 없는 운영 자격 증명은 필요하지 않습니다.
도입 순서는 신중해야 합니다:
- 관찰: 최소한의 읽기 전용 접근으로 인벤토리, 버전, 로그를 수집하세요.
- 검증: 취약한 코드 경로가 존재하고 도달 가능한지 확인하세요. 버전 문자열만으로는 배포판의 백포트 수정이 드러나지 않을 수 있습니다.
- 테스트: 통제된 복사본에서 재현하고 검증하세요. 예산과 범위는 모델 외부에서 강제해야 합니다.
- 변경: 중대한 운영 환경 조치에는 승인을 요구한 뒤 단계적 배포와 검증된 롤백을 적용하세요.
- 측정: 실행 중인 시스템, 보존된 증거, 서비스 상태, 실제 노출이 줄었는지 확인하세요.
로그, 티켓, 저장소 파일에는 공격자가 제어하는 텍스트가 들어 있을 수 있습니다. 방어자가 그 텍스트를 권위 있는 지시로 취급하면 또 하나의 공격 표면이 될 수 있습니다. 모델이 자신 있게 말하더라도 제한된 ID, 격리된 도구, 제한된 네트워크 접근, 독립적으로 강제되는 행동 규칙이 중요합니다. 추론이 빨라져도 광범위한 권한이 안전해지는 것은 아닙니다.
연구소는 역량을 판매합니다. 그리고 방패도 판매합니다.
이 지점에서 사업 모델이 불편해집니다. 공격 비용을 낮출 수 있는 역량을 개발하는 바로 그 기업들이 그 역량을 필수 방어 도구로 내세우고 있습니다. 고객은 제품 범주 자체가 가속하는 위험을 관리하기 위해 지속적으로 비용을 낼 수 있습니다.
그 우려 아래에는 실제 상업 구조가 있습니다. Anthropic의 Glasswing 발표는 모델 크레딧 최대 1억 달러와 오픈 소스 보안 조직 기부금 400만 달러를 약속했으며, 미리보기 지원 이후 유료 사용도 설명했습니다. 10월에는 기존 Glasswing 회원들이 확장된 Cyber Verification Program으로 이동하고 있었습니다. 프로그램 페이지 진지한 방어 이니셔티브인 동시에 고급 보안 역량 시장의 일부이기도 합니다.
이를 AI 보안세라고 부른다고 해서 연구소가 수십 년 된 버그를 만들었거나 공격을 의도적으로 조직했다고 주장할 필요는 없습니다. 여기서 지적하는 것은 유인입니다. 강력한 모델이 확산되면 모델 지원 방어 수요가 커질 수 있고, 역량 제공자는 그 지출을 가져갈 수 있습니다. 대중은 접근 제한, 가격, 안전성 주장, 약속한 보호가 작동한다는 증거를 검토할 수 있어야 합니다.
공정한 반론도 있습니다. 방어 연구는 일시적인 발견 우위를 영구적인 공개 패치로 바꿀 수 있으며, 모델 구독을 사지 않는 사람도 그 수정으로 보호받습니다. 그 이점은 실재합니다. 공포나 낙관 중 어느 한쪽을 충분한 증거로 취급하기보다, 실제 배포된 수정과 더 안전한 기본값을 기준으로 업계를 판단해야 합니다.
병목은 발견 이후의 모든 과정입니다
모델은 유지관리자가 검토할 수 있는 속도보다 빠르게 발견 결과를 내놓을 수 있습니다. 날짜가 명시된 10월 2일 Anthropic 공개 대시보드는 591개 프로젝트에서 공개된 결과 6,157건과 알려진 상위 공급망 패치 516건을 보고했습니다. 대시보드는 집계 항목마다 검증 단계가 다르며 패치 수만으로 수정 사항이 얼마나 널리 설치됐는지 알 수 없다고 경고합니다. 방법론은 헤드라인 숫자만큼 중요합니다.
교훈은 이 수치들을 빼서 악용 가능하고 패치되지 않은 서버가 수천 대라고 발표하는 것이 아닙니다. 발견, 확인, 상위 공급망 수정, 배포는 각각 별개의 작업입니다. 첫 작업에만 자금을 대면 나머지를 맡은 사람들에게 일이 넘어갑니다.
제가 선호하는 보안 시장은 재현 가능한 보고서, 유지관리 역량, 공개 수정, 사용하기 쉬운 업데이트 경로, 독립적으로 검증된 억제 같은 결과에 비용을 지불합니다. 고객은 증거를 다른 공급자에게 가져갈 수 있어야 합니다. 널리 사용되는 라이브러리를 안전하게 유지하기 위해 소규모 유지관리자가 기업용 AI 계약을 맺을 필요는 없어야 합니다.
다음 보안 시대에는 모델이 다른 모델을 감시하고 에이전트가 다른 에이전트에 대한 방어를 시험할 가능성이 큽니다. 하지만 지속 가능한 방어는 가장 큰 군집을 감당할 사람에게만 의존할 수 없습니다. 노출을 줄인 인프라, 권한이 적은 자격 증명, 더 안전하게 실패하는 소프트웨어, 좋은 증거에 따라 행동하도록 권한을 받은 사람도 필요합니다.
이제 질문은 AI가 취약점을 찾을 수 있느냐만이 아닙니다. 누가 수정을 받는지, 누가 방어를 통제하는지, 누가 청구서를 받는지입니다.
편집자 주: 이 글은 확인된 사건 보도, 공급업체의 귀속 판단, 필자의 분석을 구분합니다. 개념 이미지는 ChatGPT로 만들었고 인포그래픽은 연결된 기록을 바탕으로 작성했습니다. 이 글을 위해 실제 운영 중인 시스템에서 익스플로잇을 실행하지 않았습니다. 조치 전에는 정확한 제품과 구성에 대한 최신 권고문을 확인하세요.
