Claude Code가 리눅스 커널에 숨어있던 23년 된 취약점을 찾아냈다

AI가 사람 대신 보안 취약점을 찾는 시대

리눅스 커널에 23년 동안 숨어있던 보안 취약점을 AI 코딩 도구가 발견했다는 소식이 전해졌어요. Anthropic의 AI 코딩 에이전트인 Claude Code를 활용해 코드를 분석하던 중, 수십 년간 아무도 발견하지 못했던 버그를 잡아낸 거예요.

23년이라는 시간이 얼마나 긴지 생각해보면, 2003년쯤에 작성된 코드라는 뜻이에요. 그때부터 지금까지 수많은 개발자가 그 코드를 보고, 리뷰하고, 수정해왔을 텐데 아무도 못 찾았던 거죠. 이건 AI 도구의 코드 분석 능력이 어디까지 왔는지를 보여주는 상당히 인상적인 사례예요.

어떻게 찾아낸 걸까?

이 이야기를 공유한 건 개발자 Michael Lynch인데요. 그가 Claude Code를 사용해서 리눅스 커널 코드를 탐색하고 분석하는 과정에서 이 취약점이 발견됐어요.

AI가 코드에서 보안 취약점을 찾는 방식은 사람과 좀 달라요. 사람은 코드를 읽을 때 맥락과 의도를 파악하면서 "이 부분은 괜찮겠지" 하고 넘어가는 경향이 있거든요. 특히 오래된 코드, 많은 사람이 이미 검증했다고 여겨지는 코드일수록 더 그렇죠. 일종의 인지적 편향이에요.

반면 AI는 그런 편향이 없어요. 코드의 나이가 23년이든 3일이든, 유명한 개발자가 작성했든 신입이 작성했든 상관없이 동일한 기준으로 분석해요. 버퍼 오버플로우, 정수 오버플로우, 경쟁 조건(race condition) 같은 패턴을 기계적으로 점검하기 때문에 사람이 놓치기 쉬운 미묘한 버그를 잡아낼 수 있는 거예요.

경쟁 조건이 뭐냐면, 두 개 이상의 프로세스가 같은 자원에 동시에 접근할 때 타이밍에 따라 예상치 못한 결과가 나오는 버그예요. 예를 들어 두 사람이 동시에 같은 은행 계좌에서 출금하려고 할 때, 잔액 확인과 출금 사이에 빈틈이 있으면 잔액보다 더 많은 돈이 빠져나갈 수 있는 것과 비슷해요. 이런 류의 버그는 코드만 봐서는 발견하기 정말 어렵거든요.

AI 코드 리뷰, 어디까지 와 있나

사실 AI를 활용한 보안 분석은 완전히 새로운 이야기는 아니에요. 기존에도 정적 분석 도구(Static Analysis Tool)라고 해서, 코드를 실행하지 않고 텍스트 자체를 분석해서 잠재적 버그를 찾아주는 도구들이 있었어요. Coverity, CodeQL, Semgrep 같은 도구들이 대표적이죠.

하지만 이런 전통적 도구들은 미리 정의된 규칙(패턴)에 기반해서 동작해요. "이런 패턴이 나오면 위험할 수 있다"는 규칙을 사람이 만들어두면, 도구가 그 규칙에 맞는 코드를 찾아주는 방식이에요. 그래서 규칙에 없는 새로운 유형의 취약점은 못 찾고, 문맥을 이해하지 못하니 오탐(false positive)도 많았어요.

LLM 기반의 AI 도구는 다른 접근이에요. 코드의 의미와 문맥을 이해하고, 함수 간의 관계를 추론하면서 분석할 수 있거든요. "이 함수가 반환하는 값이 저 함수에서 검증 없이 사용되는데, 이 경우 특정 입력에서 문제가 생길 수 있다"는 식의 추론이 가능한 거예요. 이건 기존 정적 분석 도구로는 하기 어려웠던 영역이에요.

Google도 최근 자사 AI 모델을 활용해 오픈소스 프로젝트의 취약점을 찾는 OSS-Fuzz 프로젝트를 확장했고, Microsoft도 Copilot에 보안 분석 기능을 강화하고 있어요. AI를 활용한 보안 코드 리뷰는 이제 실험 단계를 넘어 실전에 투입되는 단계에 접어들고 있는 셈이에요.

한국 개발자에게 주는 시사점

이 사례에서 주목할 점은 두 가지예요.

첫째, 레거시 코드 점검에 AI를 활용하는 것의 가치예요. 많은 한국 기업들이 오래된 코드베이스를 운영하고 있잖아요. 10년, 15년 된 Java나 C 코드가 핵심 시스템에서 돌아가는 경우가 흔하죠. 이런 코드를 사람이 처음부터 다시 리뷰하는 건 현실적으로 어렵지만, AI 도구를 돌려보는 건 상대적으로 부담이 적어요. 물론 AI가 찾아낸 결과를 그대로 신뢰하면 안 되고, 사람이 반드시 검증해야 하지만, 적어도 "어디를 봐야 할지" 방향을 잡아주는 데는 큰 도움이 돼요.

둘째, AI 도구를 보안 워크플로우에 통합하는 것이에요. 지금 당장 CI/CD 파이프라인에 AI 기반 코드 리뷰를 넣기는 이르더라도, PR 리뷰 때 보조 도구로 활용하거나, 정기적인 보안 감사에서 1차 스크리닝 용도로 쓰는 건 충분히 현실적이에요.

다만 한 가지 주의할 점도 있어요. AI가 취약점을 "발견"했다고 해서 AI가 보안 전문가를 대체할 수 있다는 뜻은 아니에요. 이 사례에서도 AI가 찾아낸 결과를 해석하고, 실제로 악용 가능한 취약점인지 판단하고, 적절한 패치를 만든 건 결국 사람이었을 거예요.