AI는 취약점 쏟아내는데…사람은 고치기도 벅차다 작성일 11-02 15 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">PHP 코드 변경 제안 1년 새 2배 가까이 증가…개발 기여자는 제자리<br>재단 상근 직원 1명·계약직 14명…오픈소스 유지·보수 재원 부족</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="G0CvrurN5F"> <figure class="figure_frm origin_fig" contents-hash="603fd86423e31b335d07940cf8644bb2495ba02fd7685f8fb99d05848ec0a08a" dmcf-pid="HphTm7mjHt" dmcf-ptype="figure"> <p class="link_figure"><img alt="ⓒ AFP=뉴스1" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202611/02/NEWS1/20261102060311423voxm.jpg" data-org-width="1400" dmcf-mid="YFLNeve4X3" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202611/02/NEWS1/20261102060311423voxm.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ⓒ AFP=뉴스1 </figcaption> </figure> <p contents-hash="eda605ee0bb3b3aebc6ffa87cf98594ae0859a787441ff39387b267626d7119b" dmcf-pid="XUlyszsAX1" dmcf-ptype="general">(서울=뉴스1) 한수민 기자 = 인공지능(AI)이 소프트웨어의 보안 취약점을 찾아내는 능력을 빠르게 키우고 있지만, 이를 검증하고 수정해야 하는 개발 인력은 충분히 늘지 못하고 있다. 전 세계 웹사이트에서 널리 사용되는 오픈소스 프로그래밍 언어 PHP에서는 코드 변경 제안이 1년 새 거의 두 배 늘었지만, 이를 처리할 개발 기여자 수는 같은 비율로 증가하지 않은 것으로 나타났다.</p> <p contents-hash="cc1cbe5065e269aaa1dc5a51fc85ed09efb0e4272bbe436dbfb55fadfa07f92b" dmcf-pid="Zxpz1e1yY5" dmcf-ptype="general">2일 외신과 영국 오픈테크 산업단체 오픈UK 등에 따르면 AI를 활용한 취약점 탐지가 확대되면서 오픈소스 소프트웨어의 유지·보수 역량과 재정 지원 부족 문제가 부각되고 있다.</p> <p contents-hash="b3e70fb30b2e2891561f49ab4354f4d381c39a35c535c9e60e2dee7eb9142738" dmcf-pid="5MUqtdtWXZ" dmcf-ptype="general">엘리자베스 배런 PHP 재단 사무총장은 최근 로이터와의 인터뷰에서 PHP 프로젝트에 제출되는 코드 변경 제안이 1년 전보다 거의 두 배 증가했다고 밝혔다. 그러나 개발 기여자 수는 그만큼 늘지 않았다고 설명했다.</p> <p contents-hash="efa41e7a64aa59d65ff1851c6f09e8af41ea104037ba696184a791dbca97e6ec" dmcf-pid="1RuBFJFY1X" dmcf-ptype="general">코드 변경 제안과 버그 보고를 검토하는 데 상당한 사람의 노동과 경험이 필요하다는 것이다.</p> <p contents-hash="02b9c1e96708687d92042d5a58331787eefadcb9bff817c9bc78974462077ece" dmcf-pid="te7b3i3GYH" dmcf-ptype="general">AI는 개발자의 작업 효율을 높이고 기존에 발견하지 못했던 취약점을 찾아내는 데 도움을 준다. 하지만 AI가 제시한 결과를 확인하고 실제 소프트웨어에 반영하는 과정에는 여전히 개발자의 판단이 필요하다.</p> <p contents-hash="94cbcd7465e79ca45dac561f8b24f004117bbdd5c12fce3405dcb8f751d6f434" dmcf-pid="FdzK0n0HGG" dmcf-ptype="general">취약점이 발견되면 실제 공격에 악용될 수 있는지 확인하고, 원인을 분석해 수정 코드를 작성해야 한다. 이후 기존 기능에 문제가 발생하지 않는지 검증한 뒤 보안 업데이트를 배포하는 과정도 거쳐야 한다.</p> <p contents-hash="769d7c2a0a131370caa13d75f79eec37d406845d29ca04c3922347c7caf7f2e2" dmcf-pid="3Jq9pLpXHY" dmcf-ptype="general">AI를 활용한 취약점 탐지가 확대되더라도 이러한 작업을 담당할 개발 인력과 재원이 뒷받침되지 않으면 대응 부담이 커질 수 있다는 우려가 나오는 이유다.</p> <p contents-hash="02f06cae6143989aaef34deee9f0e14a11a34e96496a533e8cef2056a81e830c" dmcf-pid="0iB2UoUZYW" dmcf-ptype="general">실제 PHP의 개발과 유지·보수를 지원하는 비영리단체 PHP 재단의 상근 직원은 배런 사무총장 1명이다. 대부분 시간제로 근무하는 계약직 14명이 있으며, 이사회는 무보수 자원봉사자로 구성돼 있다. 재단은 기부금과 보조금 등을 통해 운영된다.</p> <p contents-hash="dc9bf2fa6230c36e5d2374723fdf04d834d010dcd7b3f0d1c714df1c2bc4e2fc" dmcf-pid="pnbVugu5Hy" dmcf-ptype="general">배런 사무총장은 전 세계 기업과 정부가 PHP에 의존하고 있는 현실을 고려하면 재단에 대한 재정 지원이 턱없이 부족하다고 지적했다.</p> <p contents-hash="cec86ade78253aea727abe36b7736b0dea9b5f41cd142f203900d8c601cb5777" dmcf-pid="ULKf7a715T" dmcf-ptype="general">이번 문제는 최근 PHP에서 발견된 치명적인 보안 취약점을 계기로 더욱 주목받았다.</p> <p contents-hash="8b1d152c1f6c186de6eb40b4276b105c162ac2ff7883685b8e422c80f2c40bbd" dmcf-pid="ubYZS2Sr5v" dmcf-ptype="general">지난 21일 PHP 개발진은 인증 없이 원격에서 임의의 코드를 실행할 수 있는 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 수정한 보안 업데이트를 배포했다.</p> <p contents-hash="05749938c4bedf2437fa86a44346c2818b34117ce4f4ee1bd9690b350f904810" dmcf-pid="7KG5vVvm5S" dmcf-ptype="general">두 취약점은 AI를 활용한 보안 연구 과정에서 발견됐다. 보안업체 캘리프와 위즈, 오픈AI 등 외부 연구진과 기업들은 PHP 재단 측과 협력해 취약점을 조사하고 수정 작업을 조율했다.</p> <p contents-hash="abc6ba8a989c726b37580f2d706c7e4b92cbe1f0cc1df7cec88778725743d99b" dmcf-pid="z9H1TfTsHl" dmcf-ptype="general">PHP 개발팀은 두 취약점의 심각도를 CVSS 4.0 기준 9.2점으로 평가하고 즉각적인 업데이트를 권고했다. 임시 대응책만으로는 알려진 공격 경로를 완전히 차단할 수 없어 보안 업데이트가 필요하다고 강조했다.</p> <p contents-hash="d8609dd4f498ce104cfc9aff23f68e6551ea5f07f60323e2813bd454950012b3" dmcf-pid="q2Xty4yO5h" dmcf-ptype="general">이번에는 개발진과 외부 보안 연구진의 협력을 통해 패치가 배포됐지만, AI가 취약점을 찾아내는 능력이 확대될수록 이를 검토하고 수정하는 개발자들의 부담도 커질 수 있다는 지적이다.</p> <p contents-hash="79ebec9f2d9a26326b7d5abc349f30a6d72f4561716403192b156ee7319bc961" dmcf-pid="BVZFW8WI5C" dmcf-ptype="general">영국 오픈UK는 최근 논평에서 PHP 보안 사태를 계기로 오픈소스 소프트웨어의 유지·보수에 필요한 재정 지원 문제를 제기했다.</p> <p contents-hash="8577047065cde979e56874e79081e63d1eb8a7d5476534655c44e1b5c107e952" dmcf-pid="bf53Y6YC1I" dmcf-ptype="general">매튜 로지 오픈UK 이사는 AI가 오랫동안 발견되지 않았던 취약점을 찾아내기 쉽게 만든 것은 긍정적인 변화라고 평가하면서도, 취약점 보고가 늘어나는 만큼 수정 작업을 수행할 인력이 확보되지 않으면 오히려 문제가 커질 수 있다고 지적했다.</p> <p contents-hash="ec26224fd9f2780882484f1a4e81bb7dd3ad3904b1fc82a0ad240264efb6de32" dmcf-pid="K410GPGh1O" dmcf-ptype="general">로지 이사는 PHP 재단의 연간 운영 예산이 100만 달러에도 미치지 못한다고 밝히며 오픈소스를 활용해 수익을 얻는 기업들의 책임을 강조했다.</p> <p contents-hash="17d58c33285218df24788a284a454178e43c12b5405e8f3f55243f65370c51fe" dmcf-pid="98tpHQHl1s" dmcf-ptype="general">기업들이 클라우드 서비스와 보안 플랫폼, 호스팅 서비스 등에는 비용을 지불하면서도 정작 이들 서비스의 기반이 되는 오픈소스 프로젝트의 유지·보수에는 충분히 기여하지 않는다는 것이다.</p> <p contents-hash="177ded9694456581da436822880cecd78038208318dc96f7398146a65f538c46" dmcf-pid="2dzK0n0HYm" dmcf-ptype="general">로지 이사는 오픈소스 소프트웨어의 취약점으로부터 자사를 보호하는 데 비용을 쓰는 기업들이 해당 취약점을 수정하는 프로젝트에도 재정적으로 기여해야 한다고 주장했다.</p> <p contents-hash="03484f79041b9995ab331cf83fc4ab97cd391c6a7b8272a7a51cb286b3ca9ca6" dmcf-pid="VJq9pLpXtr" dmcf-ptype="general">오픈소스 보안 인력과 재정 부족은 이전부터 제기돼 온 문제다. 오픈UK는 2022년 발간한 보고서에서도 널리 사용되지만 충분한 지원을 받지 못하는 오픈소스 프로젝트의 보안 취약점 대응 부담을 지적한 바 있다.</p> <p contents-hash="22e52e6c1ec36966a8e34ea82563d1e7240ecb19b852969909929b1ef71b91de" dmcf-pid="fiB2UoUZtw" dmcf-ptype="general">당시 보고서는 기업 등 소프트웨어 이용 조직과 유지·보수를 담당하는 개발자 사이의 자원 격차를 문제로 꼽고, 핵심 오픈소스 프로젝트에 대한 보안 지원과 재정 지원의 필요성을 강조했다.</p> <p contents-hash="fb8219931653ddf5dbece22c06e9e40b78b7893382b587d37dc56406c11fa1a7" dmcf-pid="4nbVugu5XD" dmcf-ptype="general">AI가 취약점을 찾아내는 데 걸리는 시간을 줄이고 있지만, 발견된 문제를 실제로 해결하는 데 필요한 개발 인력과 유지·보수 체계까지 같은 속도로 확충되는 것은 아니라는 점에서 오픈소스 보안의 새로운 과제로 떠오르고 있다.</p> <p contents-hash="413d7d234d21076e5d7c7b647e668b9e8360add4b7715d511c47d2cda28ef3a5" dmcf-pid="8LKf7a71HE" dmcf-ptype="general">sumin02@news1.kr </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 로켓에 맞춰 만들던 위성, 우주서 조립한다… 2028년 ‘레고 위성’ 시험 11-02 다음 ‘뜨는 AGF, 주춤한 지스타’…게임 전시회 지각변동 11-02 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
