AI가 놓친 25년 된 보안 구멍, '특화된 AI'는 찾아냈다

25년 묵은 보안 구멍을 찾아낸 ‘보안 탐정’ AI

상상해보세요. 당신이 25년 동안 매일 아침 집 문을 꼼꼼히 잠그고 외출했는데, 알고 보니 현관문 잠금장치 뒷면의 나사가 처음부터 아예 조여져 있지 않았다는 사실을 알게 된다면 어떤 기분이 들까요? 당황스럽기도 하고, 한편으로는 25년 동안 아무 일도 없었다는 사실에 안도감이 들지도 모르겠네요.

최근 전 세계 개발자들이 사용하는 데이터 전송 도구인 ‘curl(컬, 다양한 프로토콜을 통해 데이터를 안전하게 전송하는 도구)’에서 바로 이런 일이 벌어졌습니다. 더 놀라운 점은 이 깊숙한 ‘보안 구멍’을 찾아낸 것이 사람이 아니라, 보안 분야에만 집중하도록 훈련된 ‘특화된 AI 시스템’이었다는 사실입니다. 특히 이 시스템은 오픈AI(OpenAI)나 앤스로픽(Anthropic) 같은 거대 기업들이 만든 유명한 ‘범용 AI’ 모델들도 전혀 찾아내지 못한 치명적인 취약점을 무려 6개나 발견해 냈습니다.

이게 왜 중요한가요?

‘curl’이라는 이름이 생소하게 느껴질 수 있지만, 사실 여러분은 이미 매일 이 도구의 도움을 받고 있습니다. 우리가 흔히 사용하는 스마트폰 앱, 노트북의 소프트웨어 업데이트, 각종 IoT(사물인터넷) 기기들이 데이터를 주고받을 때 내부적으로 curl이나 관련 기술인 libcurl(립컬, 프로그램이 curl 기능을 쓰게 해주는 라이브러리)을 사용하기 때문입니다 [Source 3].

즉, 이 도구에 보안 구멍이 있다는 것은 우리가 일상에서 사용하는 수십억 개의 기기가 해킹의 위협에 노출될 수 있다는 뜻입니다. 이번에 보안 전문 AI 플랫폼인 AISLE이 발견한 문제 중에는 인증 우회(보안 절차를 거치지 않고 몰래 침입하는 것)와 같은 치명적인 버그도 포함되어 있어, 하마터면 데이터 유출의 통로가 될 뻔한 위험한 상황이었습니다 [Source 5].

쉽게 말해서: ‘만능 선수’와 ‘전문가’의 차이

이번 결과는 AI 세계의 흥미로운 단면을 보여줍니다. 오픈AI나 앤스로픽의 모델은 세상 모든 지식을 아우르는 ‘범용 선수’입니다. 글을 쓰고, 코딩을 하고, 외국어를 번역하는 등 무엇이든 척척 해내죠. 하지만 이번 curl 보안 조사는 마치 ‘정밀한 보석 세공’처럼 아주 깊고 좁은 전문 분야를 요구했습니다.

비유하자면, 범용 AI는 넓은 숲을 빠르게 내려다보는 드론과 같습니다. 숲의 전체적인 지형을 파악하는 데는 탁월하지만, 숲속 바닥 낙엽 밑에 숨은 아주 작은 곤충(보안 취약점)을 찾아내기는 어렵죠. 반면, 돋보기와 집게를 들고 바닥을 샅샅이 뒤지는 곤충학자 같은 AISLE은 드론이 놓친 작은 생명체까지 하나하나 찾아낼 수 있는 것입니다 [Source 1, Source 6]. 실제로 이번 사례에서 범용 AI 모델들은 단 1개를 찾거나 혹은 아예 성과가 없었지만, AISLE은 6개의 취약점을 찾아내며 압도적인 차이를 보였습니다 [Source 6].

현재 상황: curl 역사상 가장 오래된 취약점

AISLE이 찾아낸 취약점 중에는 ‘CVE-2026-8932’라는 코드가 붙은 문제도 있습니다 [Source 3, Source 5]. 이 버그는 무려 2001년 3월부터 존재해 왔습니다. 25년이라는 긴 시간 동안 수많은 전문 개발자가 이 코드를 살펴보고 사용했지만, 아무도 그 안에 숨겨진 미세한 논리적 오류를 눈치채지 못했던 것입니다 [Source 5, Source 7].

덕분에 curl은 이번에 보안 패치를 진행하며 총 18개의 CVE(공개된 보안 취약점 목록)를 기록하게 되었습니다 [Source 3, Source 6]. 이는 curl 프로젝트 역사상 가장 큰 규모의 보안 개선 작업 중 하나로 기억될 것입니다 [Source 5].

앞으로 우리는 어떻게 될까요?

이번 사건은 우리가 AI를 바라보는 시선을 완전히 바꿔놓을 것입니다. 이제 단순히 ‘더 똑똑한 AI’를 만드는 것을 넘어, ‘특정 업무를 더 날카롭게 파고드는 AI’의 경쟁이 본격화될 것입니다 [Source 1].

앞으로는 보안뿐만 아니라 의학, 법률, 반도체 설계 등 아주 구체적이고 전문적인 영역에서 인간보다 더 예리한 눈을 가진 ‘전문가 AI’들이 속속 등장할 것입니다. 우리가 매일 사용하는 소프트웨어들도 이런 전문가 AI들의 끊임없는 검사를 받으며 이전보다 훨씬 안전해지겠죠. 다만, 우리가 사용하는 AI가 어떤 능력을 갖추고 있는지, 그리고 그 모델이 혹시 무엇을 ‘놓치고’ 있는지는 우리 인간이 늘 주의 깊게 살피고 관심을 가져야 할 부분입니다.

MindTickleBytes의 AI 기자 시선

오픈AI나 앤스로픽이 거대 모델의 성능 경쟁을 펼치는 사이, 보이지 않는 곳에서 보안 문제를 해결하는 전문 AI들의 성장이 놀랍습니다. 이제 AI는 단순히 ‘창의적인 결과물을 내놓는 도구’를 넘어, 우리가 25년 동안 미처 보지 못한 코드의 작은 틈새까지 찾아내는 ‘디지털 파수꾼’으로 진화하고 있습니다.

참고자료

1. AISLE Discovered Six curl CVEs After OpenAI and Anthropic Found Zero
2. AISLE Discovers 6 CVEs in curl, Including Oldest Issue Ever Reported
3. Aisle Discovers 6 New CVEs in Curl, Including the Oldest Issue Ever Reported
4. Curl Fixes a 25-Year-Old Bug in Its Largest CVE Release Yet
5. AISLE Discovers 6 New CVEs in curl, Including the Oldest Issue Ever Reported
6. Curl’s 6 New CVEs Hit AI Toolchains - PromptZone