AI 시스템이 스스로 새로운 HTTP 데스싱크 공격 기법을 만들어 실전 사이트를 뚫었어요. 3만 개 공격 벡터로 700곳 넘는 취약점을 찾고 아파치 제로데이까지 발견했어요. AI가 가설을 세우고 검증하는 진짜 연구를 시작했다는 신호로 읽혀요.
블랙햇 2026에서 나온 발표 하나가 보안업계를 좀 흔들어놨어요 ⚠️.
포트스위거 리서치 디렉터 제임스 케틀이 만든 'HTTP 터미네이터'라는 시스템 얘기인데, 이 AI가 스스로 새로운 HTTP 데스싱크(desync) 공격 기법을 발명하고 실제 웹사이트에다 시험까지 했다고 해요. 지금까지 AI 보안 도구는 이미 알려진 취약점을 더 빨리 찾아주는 역할이었는데, 이번엔 결이 달라요. 가설을 세우고, 검증하고, 논문으로 낼 만한 새로운 걸 만들어내는 과정을 AI가 대신했거든요.
작동 방식은 네 단계로 나뉩니다. 먼저 아이디어를 생성하는 단계(ideation), 그다음 실제 사이트에서 시험해보는 평가 단계(evaluation), 효과가 확인되면 실제 공격으로 완성하는 무기화 단계(weaponization), 마지막으로 그 발견을 발판 삼아 새로운 아이디어로 번지는 확산 단계(cascade)예요. 여기서 핵심은 '마이크로 인스피레이션'이라는 기법인데, RFC 문서에서 딱 1~3문장짜리 아주 작은 조각만 던져줘서 AI가 기존 지식에 너무 오염되지 않은 채로 새로운 아이디어를 내도록 유도한 거예요.
규모부터가 심상치 않아요 📊. 3만 개의 데스싱크 벡터를 만들어내고, 3만 개 웹사이트를 대상으로 2천 개 스레드를 동시에 돌려서 700곳 넘는 취약 대상을 찾아냈어요. 멀티파트/바이트레인지라는 트리거 하나만으로도 200곳 넘게 뚫렸다고 하니 파급력이 상당하죠. 영향을 받은 곳도 다양해요. 은행과 금융기관, 정부 인프라, 공항 시스템은 항공편·승객·수하물 정보까지 노출됐고, 보안 솔루션과 SSO 서버까지 영향권에 들었습니다.
그 와중에 아파치 트래픽 서버에서 제로데이(CVE-2026-63078)도 하나 튀어나왔어요. DELETE 메서드에 Content-Location 헤더, TRACE 페이로드를 조합하면 응답 안에 있어선 안 될 인라인 헤더가 그대로 노출되는 취약점이었대요. AI가 '공유 파서 혼동'이라는 새로운 카테고리를 스스로 찾아낸 결과라고 하네요.
솔직히 이 소식을 보고 좀 소름이 돋았어요. 지금까지는 "AI가 알려진 CVE를 더 빨리 스캔한다" 정도의 이야기였는데, 이번엔 사람 연구자가 몇 달씩 걸려서 하던 가설 수립과 검증 과정 자체를 기계가 대신한 거잖아요 🔥. 방어하는 쪽 입장에서는 앞으로 이런 속도로 새로운 공격 기법이 쏟아질 거라고 생각하면 마음이 편치 않을 것 같고요.
소스코드는 이미 공개됐고 HTTP Request Smuggler, Turbo Intruder, Param Miner 같은 기존 도구들도 함께 업데이트됐대요. 공격 쪽 AI가 이 정도 속도를 내기 시작했다면, 방어 쪽도 이제 같은 속도로 따라잡아야 하지 않을까 싶네요.
출처