FFmpeg에서 21개의 제로데이 취약점 발견

depthfirst의 **보안 에이전트(Security Agent)**가 전 세계적으로 널리 사용되는 미디어 프레임워크인 FFmpeg에서 21개의 제로데이 취약점을 발견했습니다. 이번 성과는 Google의 Big Sleep과 Anthropic의 Mythos 모델이 수행한 분석을 넘어선 결과입니다.

이번 에이전트는 단순한 코드 작성을 넘어, 코드베이스의 아키텍처를 이해하고 공격 표면을 매핑하는 위협 모델링(Threat Modeling) 단계를 포함합니다. 특히 이론적인 취약점 보고에 그치지 않고, 실행 가능한 PoC(Proof of Concept) 입력값을 자동으로 생성하여 취약점의 실제 도달 가능성과 재현 가능성을 검증합니다.

주요 성과는 다음과 같습니다:

• 비용 효율성: Anthropic이 Mythos를 사용하여 수행한 분석 대비 약 **10% 수준의 비용($1k)**으로 더 많은 취약점을 찾아냈습니다.
• 실질적 위협: 발견된 취약점 중 일부는 15~20년 동안 잠재되어 있던 문제였으며, **RCE(원격 코드 실행)**가 가능한 프리미티브를 포함하고 있습니다.
• 자동화된 검증: 에이전트는 데이터 흐름을 추적하여 공격자가 제어하는 입력이 취약한 지점(Sink)에 도달하는지 확인하고, 가짜 양성(False Positive)을 방지하는 가드레일을 갖추고 있습니다.

이번 결과는 고도로 최적화되고 복잡한 C 언어 기반의 대규모 코드베이스에서도 AI 에이전트가 인간이나 일반적인 LLM보다 훨씬 정밀하고 경제적인 보안 분석을 수행할 수 있음을 보여줍니다.