오픈AI가 리눅스 커널에서 로컬 권한 상승 버그 948개의 익스플로잇을 만들었어요. 12시간에 후보 2,308건, 비용은 총 121만 달러였어요. 취약점 하나당 약 1,279달러, 공격 비용이 눈에 띄게 내려갔어요.
오픈AI가 'A Thousand Fewer Paths to Root'라는 글을 공개했어요. 아직 출시하지 않은 사이버 특화 모델을 붙인 프로토타입 파이프라인으로 리눅스 커널 코드 약 280만 줄을 훑었다는 내용이에요. 🔥
결과부터 말하면 12시간 만에 중복을 제거한 후보가 2,308건 나왔고, 그중 1,724건은 실제로 재현됐어요. 여기서 끝이 아니고, 로컬 권한 상승 버그 948건에는 동작하는 익스플로잇과 패치 후보까지 만들어 붙였다고 해요.
비용도 공개했는데요, API 비용이 합쳐서 1,213,430달러, 고유 취약점 하나당 약 1,279달러예요. 💰 숫자만 보면 큰돈 같지만, 보안 연구자가 취약점 하나를 찾고 익스플로잇까지 쓰는 데 걸리는 시간과 인건비를 생각하면 꽤 낮은 편이죠.
근데 제가 더 눈여겨본 건 '12시간'이에요. 사람이 몇 주씩 붙잡던 일을 밤새 돌려서 끝내는 구조라서, 방어하는 쪽 속도도 같이 올라가지 않으면 따라잡기 어려워 보여요.
오픈AI는 이 결과를 그냥 터뜨리지 않고 'Patch the Planet' 파트너들과 조율된 공개 절차로 진행한다고 밝혔어요. 패치를 먼저 보내고 공개하는 순서를 지키겠다는 거예요. 당연한 얘기 같지만 솔직히 이만한 규모에서는 이 절차가 제일 병목이 될 것 같아요. 948건을 메인테이너들이 다 받아서 검토해야 하니까요.
사실 앞서 앤스로픽도 미공개 모델로 여러 플랫폼의 익스플로잇 체인을 보여 준 적이 있었죠. 이제 두 회사가 같은 방향으로 달리고 있다는 게 확실해졌어요. 한쪽은 '이만큼 찾는다'를 보여 주고, 다른 쪽도 '우린 더 많이'를 보여 주는 식이에요. 📊
제 생각에 이번 발표의 핵심은 모델 성능 자랑보다는 '취약점 발견의 단가'가 공개됐다는 점이에요. 단가가 알려지면 방어자도 공격자도 계산기를 두드리게 되거든요. 이 모델이 공개되면 누가 먼저 돌릴까요? 패치가 나오는 속도와 익스플로잇이 나오는 속도 중 어느 쪽이 이길지, 당분간 지켜봐야겠어요.
출처