|
애플은 이것이 업계 전반의 현상이라고 설명했다. 생성형 AI가 사이버 보안의 창과 방패 경쟁을 바꿔놓으면서, 진짜 결함을 찾아내는 사례도 늘었지만 AI에 기댄 아마추어들의 질 낮은 신고도 함께 밀려들고 있다는 것이다.
애플의 달라진 대응은 이탈리아 사이버 보안 스타트업 비나리오를 통해 드러났다. 이 회사는 FT에 오픈AI의 챗GPT를 이용해 최신 맥북 운영체제에서 3주 만에 버그 50여개를 찾아냈다고 밝혔다. 이 가운데는 시스템에 제한 없이 접근할 수 있게 돼 공격자가 애플 컴퓨터를 통째로 장악할 수 있는 ‘권한 상승 익스플로잇 체인’도 있었다. 그러나 이 회사는 애플이 신고 건수를 제한한 탓에 이를 알릴 수 없었다고 했다.
알프레도 페솔리 비나리오 최고경영자(CEO) 겸 공동창업자는 “업계에 매우 어려운 시기”라며 “관리자와 공급업체들이 발견되는 버그의 양 자체에 압도당해 왔다”고 말했다. 애플은 현재 비나리오와 연락을 취해 제출물을 검토하고 있다고 밝혔다.
애플은 성명에서 “업계 전반에서 AI가 만들어낸 보안 신고가 늘어남에 따라 최근 연구자 한 명이 동시에 열어둘 수 있는 신규 신고 건수를 조정했다”며 연구자들이 “언제든 손쉽게 한도 증액을 요청할 수 있다”고 덧붙였다. 신고된 보안 결함은 건마다 사람이 직접 확인해야 하지만, 애플도 급증한 물량을 분류하는 데 내부적으로 AI를 쓰고 있다.
비나리오는 지난해 밀라노에서 설립된 직원 7명 규모의 스타트업이다. 공동창업자 3명은 2015년 해킹 도구가 유출된 이탈리아 감시 소프트웨어 업체 해킹팀 출신이다. 이 회사는 지난해 애플에 취약점 8건을 신고해 1건이 지난해 11월 수정됐고, 올해 5건을 더 신고한 뒤 접수를 거부당했다.
AI가 애플의 보안 체계에서 허점을 드러낸 사례는 이번이 처음이 아니다. 애플은 지난해 9월 메모리 손상 공격을 막기 위한 보안 기능 ‘메모리 무결성 강화’(MIE)를 발표하며 “소비자용 운영체제 역사상 메모리 안전성 부문에서 가장 의미 있는 개선”이라고 설명했다. 그러나 8개월 뒤 미국 팰로앨토에 있는 캘리프 연구진은 앤스로픽의 미토스를 활용해 이를 우회하는 방법을 찾아냈다.
비나리오가 찾은 취약점은 이와 달리 이른바 논리적 결함을 이용한 것이다. 신뢰받는 소프트웨어를 조작해 그 자체로는 정상인 동작들을 의도하지 않은 순서로 수행하게 만드는 방식이다. 페솔리 CEO는 이런 취약점이 암시장에서 10만~20만달러(약 1억 4460만~2억 8920만원)에 거래될 수 있다고 추산했다. 애플은 지난해 가장 심각한 위협을 찾아낸 경우 최대 500만달러(약 72억 3000만원)를 주는 버그 포상금 제도를 도입했다.
애플 역시 소프트웨어를 강화하는 데 AI를 쓰고 있다. 이번 주 내놓은 운영체제 보안 업데이트에서 애플은 앤스로픽과 오픈AI의 도구가 여러 취약점을 찾아내는 데 도움이 됐다고 명시했다. 이번 업데이트의 보안 수정은 이전 배포 주기의 약 5배에 달했다.
레이프 필링 소포스 위협인텔리전스 국장은 AI가 버그 사냥에 ‘이중의 영향’을 미친다고 지적했다. 아마추어들이 근거가 약한 신고를 쉽게 올릴 수 있게 된 동시에, 숙련된 연구자들이 위험한 취약점을 찾아내기도 쉬워졌다는 것이다. 그는 “그 결과 버그 포상금 제도는 취약점을 찾아내는 문제에서, 이를 기계의 속도로 검증하고 우선순위를 매기고 대응하는 문제로 옮겨가고 있다”고 말했다.
