AI가 만든 가짜 보안 경고? SQLite를 둘러싼 'AI 슬롭' 논란

상상해보세요. 보안 담당자인 당신의 컴퓨터에 “당신이 사용하는 시스템에 매우 위험한 구멍이 뚫렸습니다. 즉시 모든 작업을 멈추고 이를 패치하세요!”라는 긴급 경고가 떴습니다. 당신은 급하게 회의를 취소하고 팀원들을 호출해 밤을 새워가며 해당 구멍을 막는 패치를 개발했습니다. 그런데 나중에 알고 보니, 그 경고 자체가 존재하지도 않는 위험을 AI가 지어낸 허구였다면 어떨까요?

최근 전 세계 수많은 앱과 기기에 사용되는 데이터베이스 엔진인 ‘SQLite’를 둘러싸고 이런 황당한 일이 실제로 벌어졌습니다. 이는 단순한 해프닝을 넘어, 우리가 AI의 정보를 얼마나 무비판적으로 받아들이고 있는지 보여주는 뼈아픈 사례입니다.

왜 중요한가요?

보안 취약점은 마치 불씨와 같습니다. 조기에 발견해 처리하지 않으면 큰 화재(데이터 유출 등)로 이어질 수 있기 때문입니다. 그래서 전 세계 보안 전문가들은 ‘CVE(Common Vulnerabilities and Exposures, 공통 취약점 노출)’라는 체계적인 목록을 통해 정보를 공유합니다.

그런데 이번 사건은 이 신뢰의 토대인 CVE 목록 자체가 ‘AI 슬롭(AI slop, AI가 무분별하게 생성한 질 낮은 콘텐츠)’으로 오염되었다는 점이 핵심입니다. 특히 대기업이나 기관처럼 자동화된 보안 시스템을 사용하는 곳은 가짜 경고 하나에 수많은 전문 인력이 불필요한 작업에 매달리게 됩니다. 결과적으로 정작 진짜 중요한 위협에 대응할 힘을 낭비하게 만드는 것입니다.

쉽게 말해서

‘AI 슬롭’을 이해하기 위해 비유를 하나 들어볼게요. 우리가 어떤 식당에 가서 “이 음식은 너무 짜요!”라고 리뷰를 남길 때는 그 식당의 음식을 직접 맛보고 하는 말입니다. 그런데 만약 AI에게 “어떤 식당 리뷰를 써줘”라고 시키면, 맛도 보지 않은 AI가 그럴듯한 문장으로 “여기 정말 짜고 맛없어요”라는 엉터리 리뷰를 수천 개 만들어낼 수 있습니다.

이번 SQLite 사건도 비슷합니다. 보안 데이터베이스는 마치 수많은 전문가가 직접 검증한 ‘맛집 리뷰’를 올리는 곳인데, AI가 실제 취약점 분석도 없이 “이 코드에 위험한 버그가 있어요”라는 ‘가짜 리뷰’를 공식 시스템에 등록한 셈입니다.

실제로 이번에 문제가 된 CVE-2026-51302라는 취약점은 ‘치명적(Critical)’인 영향이 있다고 주장했지만, 전문가들이 검증해 본 결과 해당 취약점의 증거는 전혀 재현되지 않았고, 코드 내용조차 주장과 맞지 않는 엉터리였다고 합니다 [참고 11].

어디에 서 있나요?

현재 문제가 된 취약점들은 누군가 새로 만든 GitHub 저장소에서 배포한 것들로 밝혀졌습니다 [참고 1]. 문제는 이 엉터리 정보들이 미국의 국가 취약점 데이터베이스(NVD)에 공식 등록되고, 보안을 담당하는 CISA(미국 사이버보안인프라보안국)의 검증 시스템까지 통과해 버렸다는 것입니다 [참고 1, 참고 4].

보안 연구 기관인 JFrog는 이러한 현상이 보안 데이터베이스를 오염시켜 기업들이 존재하지 않는 위협에 대응하며 귀중한 자원을 낭비하게 만든다고 강력하게 경고했습니다 [참고 2, 참고 9]. 현재 보안 커뮤니티는 이러한 AI 생성 가짜 보고서들을 걸러내기 위해 비상이 걸린 상태입니다.

무엇이 다음 단계인가요?

앞으로는 ‘AI가 생성한 정보’를 검증하는 또 다른 ‘AI 검증 시스템’이 강화될 것으로 보입니다. 하지만 기술적 해결보다 중요한 것은 우리가 정보를 받아들이는 태도입니다. 데이터베이스나 AI의 출력이 무조건 옳다고 믿어서는 안 되는 시대가 온 것입니다. 앞으로 보안 전문가들은 코드 한 줄을 수정하기 전에, 이것이 정말 실제 위협인지 아니면 AI의 환각(Hallucination, 사실이 아닌 내용을 사실처럼 말하는 현상)인지 구분하는 ‘디지털 식별 능력’을 필수로 갖추어야 할 것입니다.

AI의 기자 시선

이번 사건은 AI 기술이 발전할수록, 역설적으로 ‘사람이 직접 확인하는 검증의 가치’가 더욱 높아지고 있음을 보여줍니다. AI가 1초 만에 100개의 보고서를 만들 수 있다면, 우리는 1초 만에 그것이 진짜인지 꿰뚫어 볼 수 있는 안목을 길러야 합니다. 기술은 빠르지만, 진실은 여전히 인간의 꼼꼼함 속에 있습니다.

참고자료

1. SQLite Critical CVEs or LLM Slop? - JFrog Security Research (https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/)
2. SQLite Critical CVEs or LLM Slop? (JFrog blog) [LWN.net] (https://lwn.net/Articles/1086936/)

3. Critical CVE issued for hallucinated SQLite vulnerability

   Hacker News (https://news.ycombinator.com/item?id=49154332)

4. AI slop pollutes the CVE pipeline with fake vulns - The Register (https://www.theregister.com/security/2026/08/03/ai-slop-pollutes-the-cve-pipeline-with-fake-vulns/5282462)
5. Sqlite CVEs and Security Vulnerabilities - OpenCVE (https://app.opencve.io/cve/?vendor=sqlite)
6. SQLite Vulnerability: CVE-2025-6965 - Broadcom support portal (https://knowledge.broadcom.com/external/article/405851/sqlite-vulnerability-cve20256965.html)
7. SQLite Critical CVEs or LLM Slop? (JFrog blog) - Linux News (https://www.linuxnews.net/articles/sqlite-critical-cves-or-llm-slop-jfrog-blog)

8. SQLite Critical CVEs or LLM Slop? (JFrog blog)

   Noise (https://noise.getoto.net/2026/08/03/sqlite-critical-cves-or-llm-slop-jfrog-blog/)

9. News - [LWN.net] SQLite Critical CVEs or LLM Slop? (JFrog …) (https://www.linux.org/threads/lwn-net-sqlite-critical-cves-or-llm-slop-jfrog-blog.69658/)

10. SQLite Critical CVEs or LLM Slop?

    JFrog - LinkedIn (https://www.linkedin.com/posts/jfrog-ltd_sqlite-critical-cves-or-llm-slop-activity-7490096151958945792-3lLX)

11. Vulnerabilities - SQLite (https://sqlite.org/cves.html)
12. News - [LWN.net] SQLite Critical CVEs or LLM Slop? (JFrog …) (https://www.linux.org/threads/lwn-net-sqlite-critical-cves-or-llm-slop-jfrog-blog.69658/latest)