오픈소스 보안 취약점 패치 지원 инициатив
좋아요 · 후기 쓰기
이 글의 목차 · 4개 항목
오픈소스 보안 취약점 패치 지원 이니셔티브
2026년 6월 22일
우리는 세상이 의존하는 핵심 오픈소스 소프트웨어를 강화할 수 있도록 유지관리자를 돕는, Trail of Bits와 함께 만든 Daybreak 이니셔티브인 Patch the Planet을 소개합니다. 우리는 가장 사이버 역량이 뛰어난 모델을 활용한 AI 지원 보안 연구와 전문가의 인간 검토를 결합해, 취약점을 식별하는 데 그치지 않고 실제로 패치하는 데까지 돕고 있습니다.
AI는 취약점 발견을 가속하고 있지만, 발견만으로는 사용자를 보호할 수 없습니다. 많은 유지관리자들은 이미 같은 제한된 시간과 자원으로 더 많은 보고서를 더 빠르게 검토하라는 요구를 받고 있습니다. Patch the Planet은 그 부담을 더하는 것이 아니라 줄이기 위해 만들어졌습니다. 보안 엔지니어가 유지관리자에게 보고가 전달되기 전에 결과를 검토하고, 프로젝트와 함께 패치와 테스트를 개발하며, 첫 수정이 적용된 뒤에도 팀이 보안 개선을 계속 이어갈 수 있도록 재사용 가능한 워크플로를 구축합니다.
Trail of Bits는 이번 초기 확장 기간 동안 보안 연구 조직 전체를 이 노력에 투입하기로 했습니다. 이들은 유지관리자와 직접 협력해 취약점을 조사하고 검증하며, 패치를 개발하고 테스트하고, 취약점 공개를 조율하고 있습니다.
또한 우리는 HackerOne 및 Calif와 협력해 취약점 분류, 조율된 공개, 그리고 추가적인 집중 취약점 발견 노력을 통해 우리의 활동 범위를 더 넓혀갈 예정입니다.
Patch the Planet 아래의 각 협업은 유지관리자와의 상담으로 시작됩니다. 각 협업마다 보안 엔지니어는 유지관리자와 함께 각 프로젝트의 요구 사항과 선호도, 그리고 추가 보안 노력이 가장 유용할 지점을 파악합니다. 여기에는 취약점 검증, 패치 개발, CI/CD 개선, 또는 더 장기적인 보안 엔지니어링이 포함됩니다. 방향이 정해지면 연구원들은 잠재적 취약점을 조사하고, 의미 있는 문제를 검증하며, 패치를 개발하거나 다듬고, 테스트를 지원하며, 프로젝트가 기존에 정해 둔 채널을 통해 공개를 조율합니다.
초기 참여 프로젝트에는 cURL, NATS Server, pyca/cryptography, Sigstore, aiohttp, Go 프로젝트, freenginx, Python, python.org가 포함됩니다. 이들 프로젝트는 널리 사용되는 네트워킹, 암호화, 소프트웨어 공급망, 언어 인프라를 지원하며, 더 강한 보안은 광범위한 하위 제품과 서비스에 이점을 줄 수 있습니다. 추가 프로젝트들은 향후 라운드에 합류할 예정입니다.
보안 연구원들은 분석, 패치 개발, 테스트, 문서화를 지원하기 위해 최전선 모델과 Codex Security를 사용합니다. 참여 프로젝트는 ChatGPT Pro, 조건부로 Codex Security 접근 권한, 그리고 핵심 오픈소스 개발, 유지관리자 자동화, 릴리스 워크플로를 위한 API 크레딧을 받습니다. Trail of Bits는 이러한 지원을 바탕으로 프로젝트가 실행할 수 있는 중복 제거, 분류, 패치용 AI 지원 워크플로를 개발했습니다.
Trail of Bits는 19개 오픈소스 프로젝트 전반에서 Codex와 GPT‑5.5‑Cyber를 함께 활용해 풀타임으로 일할 전담 보안 엔지니어를 배치했으며, 이미 수백 건의 보안 이슈를 식별하고 수십 개의 패치를 병합했으며, 더 많은 건이 아직 조율된 공개 절차를 진행 중입니다.
이번 초기 스프린트에서는 재사용 가능한 보안 인프라도 함께 만들어졌습니다. 여기에는 퍼징 하네스, 과거 CVE 분석 파이프라인, 차등 테스트 시스템, 위협 모델, 확장된 테스트 스위트, 그리고 중복 제거, 오탐 필터링, 심각도 수정, 패치 생성을 위한 워크플로가 포함됩니다. 일부 프로젝트별 세부 사항은 테스트, 수정, 그리고 조율된 공개가 진행되는 대로 나중에 공유될 예정입니다. 팀이 무엇을 만들고 찾아낼 수 있었는지를 보여 주는 몇 가지 초기 사례는 다음과 같습니다.
하루도 채 되지 않아 만든 퍼징 랩. Trail of Bits 엔지니어들은 GPT‑5.5‑Cyber와 함께 반복적인 Codex /goal 실행을 사용해 수십 개의 진입점, 변형 빌드, 플랫폼, 새로운 테스트 시드를 포괄하는 전체 퍼징 랩을 구축했습니다. 엔지니어들은 목표를 설정하고 프롬프트를 다듬었으며, 시스템은 이후 커버리지 피드백을 사용해 새로운 영역으로 계속 확장하고, 경계 사례를 겨냥하며, 취약하거나 유효하지 않은 후보를 걸러냈습니다.
Trail of Bits 엔지니어들은 제한적인 지침만으로도 GPT‑5.5‑Cyber가 어떤 영역의 커버리지를 확장할지, 어떤 빌드와 진입점을 탐색할지, 그리고 어떤 후보는 너무 약해 더 추적할 가치가 없는지에 대해 유용한 선택을 내렸음을 발견했습니다. 완성된 설정은 하루도 걸리지 않았습니다. Trail of Bits는 같은 실험실을 수동으로 구축하려면 보통 적어도 몇 주는 걸릴 것으로 추정합니다.
알려진 취약점의 변종을 찾기 위한 재사용 가능한 파이프라인. 팀은 과거 CVE를 입력받아 관련 취약성 패턴을 추출하고, 대상 코드베이스에서 연관된 결함을 검색한 뒤, 후보 결과를 특화된 판정 에이전트로 보내는 엔드투엔드 시스템을 구축했습니다. 이 파이프라인은 결과를 중복 제거하고, 거짓 양성일 가능성이 높은 항목을 걸러내며, 가장 강한 근거를 보안 엔지니어에게 전달해 수동 확인을 거치게 합니다.
이를 통해 수년간 축적된 공개 취약점 이력을 여러 프로젝트에 적용할 수 있는 반복 가능한 탐색 전략으로 바꿀 수 있습니다. Trail of Bits는 이 모델들이 특히 이런 변종 분석에서 효과적이었다고 보았고, 검토 중인 코드베이스 전반에서 많은 추가 이슈를 찾아냈습니다.
몇 주나 몇 달 대신 며칠 만에 하는 차등 테스트. 같은 프로토콜의 서로 다른 구현은 일반적으로 같은 입력에 대해 같은 방식으로 동작해야 합니다. 동작이 달라지면 그중 하나에 버그가 있을 수 있습니다. 하지만 각 구현을 공통 테스트 하네스에 연결하는 맞춤형 shim 및 glue 코드를 엔지니어가 작성해야 하므로, 이 아이디어를 대규모로 적용하는 일은 보통 어렵습니다.
Codex는 이 코드를 생성하고 반복적으로 개선하여 여러 구현을 서로 비교하며 퍼징할 수 있게 했고, 그 동작 차이를 조사할 수 있게 했습니다. 이 워크플로는 많은 약하거나 잘못된 결과를 걸러냈고, 전문가 검토를 위한 비교적 신호가 높은 후보 집합을 만들어냈습니다. 팀은 며칠 만에 이러한 결과에 도달했으며, 이는 과거에는 몇 주 또는 몇 달이 걸리던 작업을 압축한 것입니다. Trail of Bits는 프로젝트별 세부사항을 공개하기 전에 이 테스트를 계속 확장하고 정교화하고 있습니다.
명세가 약속하는 동작에 맞춰 소프트웨어를 테스트하기. 팀들은 프로젝트 명세와 RFC를 기반으로 한 위협 모델, 공격 분류 체계, 불변성 테스트, 속성 기반 테스트를 개발하는 데 Codex를 사용했습니다. 이러한 방법은 의도된 동작과 실제 동작 사이의 눈에 띄는 차이를 드러내는 한편, 프로젝트에는 더 넓은 테스트 커버리지, 더 강한 문서화, 그리고 CI/CD 및 소프트웨어 공급망 도구의 개선을 남겼습니다.
보안 엔지니어가 모든 결과를 유지자에게 전달되기 전에 검토했습니다. Trail of Bits 엔지니어들은 유지자에게 제출하기 전에 모든 보안 이슈를 수동으로 검토했으며, 이 단계가 가져온 추가 가치는 아무리 강조해도 지나치지 않습니다. 최첨단 AI 모델은 취약점 발견과 패치에 매우 뛰어나지만, 동시에 높은 비율의 거짓 양성도 만들어내기 때문에 이미 과중한 유지자들의 백로그를 더 악화시킬 수 있습니다. Patch the Planet은 이를 해결하기 위해 전담 Trail of Bits 연구자들이 증거를 재현하고, 프로젝트별 문서와 위협 모델에 비추어 결과를 확인하고, 중복을 제거하고, 심각도를 재평가하며, 확인된 취약점을 우선순위에 따라 대응하도록 합니다. 또한 유지자의 선호에 맞춰 패치를 개발하고 제출합니다. 패치의 배포 여부와 공개 처리 방식은 유지자가 계속 통제합니다.
Patch the Planet은 광범위하게 사용되는 소프트웨어의 심각한 취약점을 방어자가 찾아내고, 검증하고, 수정하는 데 최첨단 모델이 어떻게 도움을 줄 수 있는지를 보여주는 더 큰 Daybreak 연구의 토대 위에 구축되었습니다.
우리는 공개가 아직 진행 중인 취약성 활용 방식과 프로젝트별 세부사항은 보류한 채, 여기서는 몇 가지 초기 하이라이트만 공유합니다. 수정 사항이 적용되고 조정된 공개가 마무리되면, 개별 발견, 연구 방법, 검증 워크플로, 그리고 다른 방어자들이 적용할 수 있는 교훈을 자세히 설명하는 더 깊이 있는 기술 보고서를 발표할 계획입니다.
우리의 발견은 소프트웨어 스택의 모든 계층에 걸쳐 있으며, 아직 공개 절차가 진행 중인 항목도 훨씬 더 많습니다.
- Linux Kernel:GPT‑5.5‑Cyber는 3천만 줄이 넘는 코드 전반에서 보안 관련 구성 요소를 식별하고, 잠재적인 보안 문제를 표시한 뒤, 이를 동적으로 검증하여 커널 포인터 정보 유출 개념 증명(PoC) 8개와 로컬 권한 상승 익스플로잇 24개를 생성했습니다. 수백 건의 문제가 식별되었으며, 여기서는 그중 PoC가 자동 생성된 부분집합만을 다룹니다.
- OpenBSD:우리 모델은 OpenBSD의 System V 세마포어 커널 구현에서 23년 된 use-after-free를 식별했습니다. OpenAI 연구원들은 이 문제를 재현했고, 권한이 없는 로컬 사용자가 root로 권한을 상승시킬 수 있음을 확인했습니다.
- FreeBSD:Calif의 보안 연구자들은 Codex를 사용해 FreeBSD에서 여러 LPE에 대한 개념 증명 익스플로잇을 찾아 검증했습니다. 더 넓은 FreeBSD 캠페인 전반에서 OpenAI 연구원들은 34개의 취약점을 확인하고 로컬 권한 상승 PoC 7개를 생성했습니다.
- dnsmasq: Codex Security는
2.92rel2에서 나중에 수정된 dnsmasq CVE 6개 중 4개에 해당하는 취약 패턴을 독립적으로 식별했습니다: CVE-2026-4890, CVE-2026-4891, CVE-2026-4892, CVE-2026-5172. - HTTP/2 Bomb: Calif은 Codex를 사용해 NGINX, Apache, IIS, Pingora를 포함한 주요 HTTP/2 구현에 영향을 미치는 서비스 거부 기법인 "HTTP/2 Bomb"를 식별했습니다. Calif의 분석에 따르면, HTTP/2가 활성화된 영향을 받는 서버 소프트웨어를 실행 중인 인터넷 노출 웹사이트가 88만 개 이상이었습니다.
- Chrome: OpenAI 연구원들은 Chrome의 V8 JavaScript 엔진에서 익스플로잇 가능한 취약점 5개를 찾아 보고했으며, 그중 3개는 도입된 지 며칠 만에 식별되고 수정되었습니다.
- Safari: 집중적인 WebKit 작업을 약 일주일 수행한 결과, 익스플로잇 가능한 Safari 취약점 10개 이상을 찾아 보고했습니다.
- Firefox: OpenAI Preparedness는 안전성 평가 중 GPT‑5.5로 WebAssembly 취약점(CVE-2026-8390)을 식별했으며, Mozilla는 Pwn2Own Berlin 이틀 전에 이를 패치해 등록된 Firefox 참가작 6개 중 5개가 철회하도록 만들었습니다. 대회에서는 Firefox 익스플로잇이 성공적으로 시연되지 않았습니다.
오픈 소스 소프트웨어는 공유 인프라입니다. 이를 안전하게 지키는 일도 공유된 노력이어야 합니다. AI는 취약점 발견의 속도를 바꾸고 있으며, 이제 필요한 일은 그 혜택이 가장 필요한 유지관리자와 사용자에게 돌아가도록 보장하는 것입니다.
Patch the Planet은 유지관리자를 위해 그 완전한 방어 루프를 서비스하도록 설계되었습니다: 발견, 검증, 심각도 검토, 공개, 패치 개발, 테스트, 배포. Frontier 모델은 그 루프의 일부를 더 빠르게 만들 수 있지만, 목표는 공유 인프라를 책임지는 사람들에게 더 나은 도구와 더 많은 역량을 제공하는 동시에, 변경 사항이 어떻게 반영될지에 대한 그들의 주도권을 보존하는 것입니다.
이번 첫 번째 스프린트는 유지관리자, 보안 엔지니어, 그리고 AI 지원 워크플로우 간의 지속적인 협업이 무엇을 만들어낼 수 있는지 보여줍니다: 즉각적인 수정, 더 강력한 프로젝트 인프라, 그리고 오픈 소스 소프트웨어를 시간이 지남에 따라 계속 개선할 수 있는 재사용 가능한 보안 작업입니다.
이것은 시작에 불과합니다. 더 많은 수정이 반영되고 조정된 공개가 완료되면, 우리는 선별한 발견 사항에 대한 더 깊은 기술 보고서, 이를 발견하고 검증하는 데 사용한 방법, 그리고 모두가 의존하는 소프트웨어를 보호하는 데 방어자들이 적용할 수 있는 워크플로우를 공개할 계획입니다. 유지관리자라면 여기에서 Patch the Planet에 참여 신청을 할 수 있습니다.
작성자
OpenAI
계속 읽기
출처
- 원문: https://openai.com/index/patch-the-planet/ (2026-10-26 · openai.com)