AI가 25달러로 찾아낸 워드프레스 취약점 — 보안 연구의 판이 바뀌고 있다

무슨 일이었나

먼저 배경부터 짚고 갈게요. 소프트웨어에는 종종 "취약점(vulnerability)"이라는 게 숨어 있어요. 개발자가 실수로 남긴 허점인데, 그중에서도 제일 위험한 게 바로 RCE, 우리말로 원격 코드 실행(Remote Code Execution)이에요. 이게 뭐냐면, 공격자가 자기 자리에 앉은 채로 저 멀리 있는 남의 서버에 원하는 명령을 실행시킬 수 있는 구멍이에요. 사실상 그 서버를 통째로 넘겨주는 셈이라, 취약점 중에서도 최상급으로 위험하다고 봐요.

이런 RCE는, 특히 전 세계 웹사이트의 상당 부분을 돌리는 워드프레스(WordPress) 생태계에서 나오면 지하 거래 시장에서 수십만 달러를 호가하기도 해요. 그런데 한 보안 연구자가 이 비싼 취약점을, 최신 대형 언어 모델(LLM)에게 코드를 읽히는 방식으로 단돈 25달러 정도의 API 사용료만 쓰고 찾아냈다는 경험을 공개했어요. "사람이 몇 주씩 눈 빠지게 봐야 찾던 걸 AI가 커피 몇 잔 값으로 찾아준다"는 이야기라, 보안 업계가 술렁일 만하죠.

AI가 취약점을 어떻게 찾나요

AI로 취약점을 찾는다는 게 뭐냐면, 사람 대신 LLM에게 소스 코드를 쭉 읽히면서 "여기 위험한 데 없어?" 하고 집요하게 물어보는 거예요. 특히 웹 취약점은 패턴이 어느 정도 정해져 있어요. 바깥에서 들어온 사용자 입력값이 제대로 걸러지지 않은 채, 파일을 열거나 명령을 실행하는 위험한 함수까지 흘러들어 가면 사고가 나거든요. 이 "입력값이 위험한 곳까지 흘러가는 경로"를 추적하는 걸 보안에서는 테인트 분석(taint analysis)이라고 불러요.

예전에는 이걸 사람이 코드를 한 줄 한 줄 따라가며 머릿속으로 그렸는데, 워드프레스 플러그인처럼 코드가 방대하면 놓치기 쉬웠어요. LLM은 이 지루한 추적을 지치지 않고 반복하면서 "이 값이 여기서 안 걸러지고 저기 위험한 함수로 들어가는데요?" 하고 후보를 던져줘요. 물론 AI가 헛다리(거짓 양성)를 짚는 경우도 많아서, 결국 사람이 진짜인지 확인하고 실제로 재현해봐야 해요. 그래도 "어디를 봐야 할지" 좁혀주는 것만으로도 시간이 확 줄죠.

업계 맥락에서 보면

이건 남 이야기가 아니에요. 구글은 이미 'Big Sleep'이라는 AI 에이전트로 실제 소프트웨어의 진짜 취약점을 찾아낸 사례를 발표했고, 오픈소스 자동 테스트 프로젝트에도 LLM을 붙여 새로운 버그를 찾고 있어요. 즉, 방어하는 쪽도 AI로 자기 코드를 미리 훑어 구멍을 메우고 있다는 거죠.

문제는 이게 전형적인 창과 방패의 싸움이라는 점이에요. 취약점을 찾는 비용이 25달러 수준으로 뚝 떨어지면, 나쁜 마음을 먹은 사람도 훨씬 싸고 빠르게 취약점을 긁어모을 수 있어요. 반대로 방어자도 같은 무기를 쥐게 되고요. 결국 "누가 먼저, 더 성실하게 자기 코드를 AI로 점검하느냐"의 싸움으로 무게추가 옮겨가는 셈이에요.

한국 개발자에게

가장 현실적인 교훈은 두 가지예요. 첫째, 워드프레스나 각종 플러그인, 오픈소스 라이브러리를 쓴다면 업데이트를 미루지 마세요. 공격자가 취약점을 찾는 속도가 빨라졌다는 건, 패치를 안 한 사이트가 털리는 속도도 빨라졌다는 뜻이거든요. 안 쓰는 플러그인은 지우고, 공격 표면을 최대한 줄이는 게 기본이에요.

둘째, AI를 방어에 적극적으로 써먹으세요. 내가 짠 코드나 우리 팀 코드를 커밋 전에 LLM에게 "보안상 위험한 부분 짚어줘"라고 시켜보는 것만으로도 어이없는 실수를 상당수 걸러낼 수 있어요. 다만 취약점을 찾았다면 몰래 악용하는 게 아니라 개발사에 제대로 알리는 책임 있는 공개(responsible disclosure) 문화를 지키는 게 중요하고요. 이 선을 지키는 게 화이트해커와 범죄자를 가르는 기준이에요.

정리하며

한 줄로 정리하면, 취약점을 찾는 비용이 급격히 싸지면서 보안의 무게중심이 '먼저 성실하게 점검하는 쪽'으로 옮겨가고 있다는 이야기예요. 여러분은 AI가 코드를 읽고 취약점을 찾아주는 시대에, 공격과 방어 중 어느 쪽이 더 유리해질 거라고 보세요? 그리고 여러분 팀은 이미 AI로 자기 코드를 점검하고 있나요?