[뉴욕=이데일리 성주원 특파원] 인공지능(AI)이 전 세계 웹사이트의 최대 70%에서 사용되는 핵심 소프트웨어의 치명적인 보안 취약점을 찾아냈다. 해커가 이를 악용하면 웹사이트 운영 서버를 장악해 정보를 빼내거나 악성코드를 퍼뜨릴 수 있다. 문제는 취약점을 발견한 AI가 해커들의 공격에도 활용될 수 있다는 점이다. 전 세계 웹사이트 운영자들이 긴급 보안 조치에 나서면서 AI 시대의 새로운 사이버 보안 위기가 현실화하고 있다.

21일(현지시간) 월스트리트저널(WSJ)에 따르면 웹사이트 개발에 널리 쓰이는 프로그래밍 언어 PHP의 개발진은 이날 심각한 보안 취약점을 공개하고 긴급 대응에 나섰다. ‘PHP2Shell’로 불리는 이번 보안 문제는 PHP가 컴퓨터 메모리를 관리하는 방식에 존재하는 두 건의 치명적인 취약점과 관련돼 있다.

PHP는 웹사이트에서 이용자의 요청을 처리하고 데이터베이스와 정보를 주고받는 데 사용되는 기술이다. 워드프레스 등 주요 웹사이트 구축 플랫폼도 PHP에 의존한다. 다만 PHP를 사용한다고 해서 모든 웹사이트가 동일한 수준의 위험에 노출되는 것은 아니다.

이번 취약점은 공격자가 별도의 로그인이나 인증 없이 취약한 웹 서버에서 악성 명령을 실행할 수 있다는 점에서 위험하다. 서버가 장악되면 저장된 정보가 유출되거나 해당 웹사이트 방문자를 겨냥한 추가 공격으로 이어질 수 있다. 보안 위험도는 10점 만점에 9.2점으로 평가됐다.

특히 이번 결함은 AI를 활용한 보안 연구 과정에서 발견됐다. 미국 보안업체 캘리프(Calif)의 연구원 라이언 오스틴은 지난 8월 오픈AI의 AI 모델 ‘GPT-5.6 Sol’을 이용해 PHP 소스코드를 분석하다 문제를 찾아냈다. 수년간 코드에 숨어 있던 취약점으로, 과거에도 문제가 제기됐지만 실제 공격에 활용하기는 어렵다고 여겨졌던 부분이다.

그러나 AI의 도움을 받은 연구진은 수십 차례의 서버 요청만으로 메모리에서 실행되는 프로그램을 조작할 수 있는 방법을 확인했다. 규모가 작은 시스템에서는 공격이 수초 만에 이뤄질 수 있는 것으로 나타났다.

문제의 심각성이 확인되자 PHP 개발진과 보안업체들은 비공개로 대응에 나섰다. 구글의 사이버보안 자회사 위즈(Wiz)와 오픈AI 연구진도 취약점 분석과 보완 작업에 참여했다. 개발진은 약 200개 파일에 걸쳐 1만줄 이상의 코드를 작성하는 등 대규모 보완 작업을 진행했다.

당초 패치 공개일은 22일이었지만 전날 관련 정보가 온라인에 유출되면서 일정이 앞당겨졌다. PHP 개발진은 이날 긴급 보안 업데이트를 공개하고 이용자들에게 신속한 설치를 권고했다. 일부 웹사이트 운영자들은 공격 가능성을 차단하기 위해 서비스를 일시 중단하기도 했다.

이번 사태가 특히 주목받는 이유는 AI가 사이버 보안의 공격과 방어 양쪽을 동시에 바꾸고 있기 때문이다. 과거에는 해커가 보안 패치의 변경 내용을 분석하고 공격 코드를 개발하는 데 상당한 시간이 필요했다. 하지만 AI는 이 과정을 빠르게 자동화할 수 있다. 방어자가 패치를 적용하기 전에 공격자가 취약점을 악용할 가능성이 커진 것이다.

캘리프의 타이 즈엉 최고경영자(CEO)는 누구든 공개된 패치를 AI로 분석해 공격 코드를 만들어 배포할 수 있다며 심각한 혼란이 발생할 수 있다고 경고했다. 위즈 공동창업자 아미 루트왁도 이번 취약점을 AI가 발견한 가장 심각한 보안 결함으로 평가했다.

보안업계는 이번 사태를 2014년 전 세계 서버에 긴급 보안 조치를 촉발했던 ‘하트블리드(Heartbleed)’ 사태에 비유하고 있다. 당시처럼 광범위하게 사용되는 기반 소프트웨어에서 취약점이 발견됐다는 점에서다.

AI는 인간이 오랫동안 놓쳤던 결함을 찾아내 방어 능력을 높이고 있다. 동시에 같은 기술이 해커들의 공격 속도와 파괴력을 키울 수 있다는 우려도 커지고 있다. 이번 사태는 AI 시대 사이버 보안의 핵심 과제가 취약점 발견 자체를 넘어 공격자가 이를 악용하기 전에 얼마나 빨리 대응하느냐로 옮겨가고 있음을 보여주고 있다.