curl 취약점, 범용 AI 0건 vs 전문 AI 6건

보안 스타트업 AISLE이 인터넷 인프라의 뼈대 격인 오픈소스 라이브러리 curl에서 새 취약점 6건을 찾아 공식 CVE 번호를 받았다고 9월 2일 밝혔다. 주목할 점은 시점이다. curl 창립자 대니얼 스텐버그(Daniel Stenberg)가 앤트로픽 미토스(Mythos)와 오픈AI 코덱스 시큐리티(Codex Security)를 돌려 "더는 못 찾는다"는 결과를 공개한 직후, 같은 코드에서 나온 성과다.

무슨 일인가

스텐버그는 8월 24일 다음 릴리스에 남은 CVE가 3건뿐이라고 적으면서, 프런티어 AI 보안 시스템 두 종의 결과를 함께 공개했다. 앤트로픽 쪽은 더 찾을 게 없다고 했고, 오픈AI 쪽 목록은 비어 있었다는 내용이다. AISLE은 이 게시글이 올라온 뒤 자사 자율 분석 시스템을 curl에 적용했고, 다음 날 스텐버그는 "미토스 0, AISLE 29"라는 비교를 게시했다.

29건의 보고 가운데 6건이 며칠 안에 curl 보안팀 검토를 통과해 CVE로 지정됐다. 모두 이번에 공개된 curl 8.22.0에서 수정됐고, 보고자로 AISLE의 스타니슬라프 포트(Stanislav Fort)가 기재됐다. 보고 시점은 8월 24일 3건, 26일 2건, 27일 1건이다. 8월 28일 기준 curl의 대기 CVE는 3건에서 10건으로 늘었고, 그중 6건이 AISLE 몫이었다. curl은 전 세계 200억 개 이상의 기기와 프로그램에 들어가 있는 것으로 알려져 있다.

핵심 짚어보기

여섯 건은 OpenSSL 프로바이더 사용 후 해제(use-after-free), 인증서 피닝 우회, 네이티브 CA 저장소 연결 재사용, 탭 문자를 이용한 secure 속성 우회, wolfSSL CA 캐시 관련 콜백 무력화, 공개 접미사 도메인 쿠키 처리 문제다. 전부 '낮음(Low)' 등급이다. curl처럼 수십 년간 집중 감사를 받은 코드에는 큰 구멍이 남아 있기 어렵고, 남은 결함은 특정 설정과 미묘한 상호작용 사이에 숨어 있다는 뜻이다.

이 사례가 다른 벤치마크와 다른 이유도 있다. 정답이 정해진 문제 풀이 대회가 아니라 실제 운영 코드를 대상으로 했고, 진짜 결함인지와 CVE를 부여할지는 AISLE이 아닌 curl 관리자들이 판단했다. 비교 기준선이 결과보다 먼저 공개돼 있었다는 점도 검증 가치를 높인다. 리눅스 안정 버전 관리자인 그레그 크로아하트만(Greg Kroah-Hartman)이 리눅스 커널에서도 같은 양상을 보고 있다고 반응했다는 내용도 글에 담겼다.

단, 이 글은 AISLE이 자사 블로그에 올린 것이고 말미에는 유료 일회성 코드 감사 상품 홍보가 붙어 있다. '범용 모델보다 특화 시스템'이라는 회사 주장은 자사 성과를 근거로 한 것이므로 그 맥락에서 읽어야 한다.

1인기업 실전 적용 포인트

• 코딩 에이전트가 "취약점 없음"이라고 답해도 그것은 '그 도구가 못 찾았다'는 뜻일 뿐이다. 배포 전 점검은 최소 두 가지 이상의 서로 다른 도구(정적 분석기 하나, AI 리뷰 하나)를 겹쳐 돌리는 습관을 들이자.
• 서비스에 curl이나 curl 기반 HTTP 라이브러리를 쓰고 있다면 8.22.0으로 올릴 일정을 잡아 두자. 도커 베이스 이미지를 다시 빌드하는 것만으로 반영되는 경우가 많다.
• 6건 모두 낮음 등급이었듯, 성숙한 오픈소스에서 나오는 결함은 대개 특수 설정에서만 문제가 된다. 자기 서비스가 해당 설정(인증서 피닝, 특정 TLS 백엔드)을 쓰는지 확인하는 것이 패치 우선순위를 정하는 기준이다.
• AI 보안 도구를 고를 때는 "CTF 점수"보다 "실제 프로젝트에서 관리자가 인정한 CVE 수"를 물어보자. 이번 사례가 보여준 가장 쓸모 있는 평가 잣대다.

전망

이 결과는 AI 보안 분야의 경쟁 축이 '가장 큰 모델'에서 '문제에 맞게 설계된 시스템'으로 옮겨갈 수 있음을 시사한다. 물론 단일 사례이고 스스로 보고한 결과라는 한계는 분명하다. 그럼에도 프런티어 모델의 '깨끗함' 판정을 최종 답으로 받아들이면 안 된다는 교훈은 소규모 팀에게 특히 무겁다. 검증 도구는 하나가 아니라 여러 겹이어야 한다.

출처: AISLE 블로그 (https://aisle.com/blog/aisle-discovered-six-curl-cves-after-openai-and-anthropic-found-zero)