OpenAI는 미공개 인공지능 모델 기반의 자동화 시스템이 리눅스 운영체제(Linux Kernel) 커널에서 948개의 고유한 보안 취약점을 발견하고 이에 대한 익스플로잇을 개발하는 데 성공했다고 주목할 만한 기술적 성과를 밝혔습니다. 이 작업은 최신 커널 메인라인 버전의 코드를 대상으로 한 단 한 번의 스캔 라운드 동안 이루어졌으며, API 크레딧 기준으로 약 120만 달러의 비용이 소요되었습니다.
작동 메커니즘 및 결과
인공지능 에이전트는 권한이 낮은 사용자가 접근할 수 있는 커널 내 보안 민감 지역을 식별하는 것으로 작업을 시작했습니다. 탐지된 2,308개의 잠재적 취약점 중 시스템은 1,724개가 존재함을 확인했습니다. 이 도구는 로컬 권한 상승(LPE)을 위한 1,169개의 효과적인 익스플로잇 개발에 성공했으며, 데이터 유출을 위한 291개의 개념 증명(PoC)도 함께 개발했습니다.
OpenAI는 자사 보안 연구원들이 커널 개발자에게 제출하기 전에 모든 익스플로잇과 제안된 패치를 검토했다고 확인했습니다. 또한 회사는 이 시스템이 커널 보안 전문가들에게도 알려지지 않았던 최소 10가지의 새로운 익스플로잇 기법을 창출했으며, 보안상의 이유로 정확한 기술적 세부 사항은 비공개로 유지했다고 밝혔습니다.
이 소식이 중요한 이유
이번 발전은 보안 취약점이 발견되는 방식에 있어서 근본적인 전환점을 나타냅니다. 취약점당 약 1,279달러의 비용으로, OpenAI는 인공지능이 전통적인 시장(예: Pwn2Own 보상 프로그램)에서 1,890만 달러에서 6,630만 달러의 비용이 들었을 연구 및 익스플로잇 개발 작업을 수행할 수 있음을 입증했습니다. 이는 인공지능이 기존의 인간 능력을 훨씬 뛰어넘는 속도와 효율성으로 복잡한 보안 작업을 수행할 수 있게 되었음을 의미합니다.
사용자와 방어자에게 주는 의미는 무엇인가?
OpenAI는 고급 기술 리소스를 보유한 위협 주체들이 존재하는 상황에서, 업데이트되지 않은 운영체제에서 낮은 권한의 계정을 가지고 있는 것은 이제 기능적으로 루트(Root) 권한을 가진 것과 다름없다고 경고했습니다. 위험을 완화하기 위해 회사는 Firecracker 및 gVisor와 같은 격리 및 컨테이너 기술을 포함한 다층 방어에 의존할 것을 권장합니다.
한편, OpenAI는 독립 연구원들이 인공지능이 놓칠 수 있는 격차를 해소하도록 장려하기 위해 보안 버그 바운티(Security Bug Bounty) 프로그램의 포상금을 인상한다고 발표했습니다. 중간, 높음, 치명적 취약점에 대한 평균 포상금을 4배 이상 인상하여, 단일 치명적 취약점에 대한 포상금은 보너스 추가 시 최대 17만 2,000달러에 달할 수 있도록 했습니다.