AI, PHP 취약점 공격 증명 자체 생성… 보안 업계 '긴장'

김형석 기자

작성일 2026-10-26 18:01

인공지능(AI) 기반 사이버 보안 모델인 OrcaCyber Zero 1.5가 PHP의 치명적인 원격 코드 실행 취약점 두 건에 대한 공격 증명(Proof of Concept)을 스스로 작성했다고 컨티뉴엄 AI(CONTINUUM AI)가 밝혔다. 이 소식은 2026년 10월 22일 공식 채널을 통해 전해졌다.

OrcaRouter는 취약점의 심각성과 웹 전반에 미칠 잠재적 영향을 고려하여 악용 코드와 기술 세부 내용은 공개하지 않기로 결정했다. 대신 PHP 운영자들에게 지원이 종료되지 않은 보안 버전으로 즉시 업데이트할 것을 강력히 권고했다.

이번에 발견된 취약점은 PHP 엔진 자체의 결함으로, 웹사이트와 플러그인을 최신 상태로 유지하더라도 PHP 버전이 취약하면 그대로 위험에 노출될 수 있다. OrcaRouter 측은 "모든 PHP 설치가 악용 가능한 것은 아니지만, 공격 표면 자체가 매우 크다"고 설명했다. PHP는 전 세계 웹사이트 상당수에서 사용되는 언어로, 이번 결함은 해당 언어 위에서 작동하는 애플리케이션의 패치 상태와 무관하게 영향을 미친다.

미국 국가안보국(NSA)은 해당 취약점 공개 직후 즉시 업데이트를 적용하고, 이것이 어렵다면 시스템을 완전히 완화될 때까지 오프라인 상태로 둘 것을 권고한 바 있다.

OrcaRouter는 OrcaCyber Zero 1.5 모델이 사람이 단계별 지시 없이 공개된 권고문과 버전 정보만을 근거로 완전한 공격 증명을 독립적으로 작성했다고 밝혔다. 해당 취약점(CVE-2026-109618, CVE-2026-109619)은 PHP 5.4 이상, 특히 7.x 계열에 영향을 미치며, 지원이 종료된 PHP 7.4 버전에는 백포트되지 않았다.

OrcaRouter는 수정 버전이 배포되기 전, 즉 수정 버전과 대조할 수 없는 상태에서 공격 체인을 완성했다는 점에서 이번 사례가 갖는 의미를 강조했다. 이는 AI가 보안 패치가 나오기 전에 이미 공격을 완성할 수 있음을 보여주는 사례로 평가된다.

OrcaRouter는 사이버 모델을 검증된 팀에만 제한적으로 접근을 허용하고 있으며, 모든 호출은 이용 정책에 따라 관리된다고 밝혔다. 하지만 보수 신학계 전문가들에 따르면, AI의 이러한 능력은 기술 발전의 양면성을 보여주는 동시에, 악의적인 목적으로 사용될 경우 심각한 사회적 혼란을 야기할 수 있다는 우려도 제기된다. 특히, AI가 인간의 윤리적 판단이나 성경적 가치관 없이 오직 효율성만을 추구할 경우, 그 결과가 예측 불가능할 수 있다는 지적이다.

추천 0