LLM 에이전트, 보안 취약점 소문만으로 자동 익스플로잇 생성… 오픈소스 보안 프로세스 위기

OCaml의 cohttp 라이브러리에서 발견된 경로 탐색(path traversal) 취약점 사례를 통해, LLM 기반 에이전트가 보안 취약점의 상세 코드나 PoC 없이도 익스플로잇을 생성할 수 있음을 입증했다. 저자는 보안 패치 PR 공개 후 10분 이내로 실제 공격 시도가 발생했으며, 이는 에이전트가 취약점 유형만으로도 공격 코드를 작성할 수 있기 때문이라고 분석했다.

LLM 기반 자동 익스플로잇의 위협

• 공격 속도 가속화: 기존에는 취약점 상세 정보가 필요했으나, 현재는 취약점 유형에 대한 힌트만으로도 LLM이 익스플로잇을 생성한다. 연구에 따르면 GPT-4 에이전트는 CVE 설명 없이도 벤치마크 취약점의 **7%**를 익스플로잇했으며, 설명이 있을 경우 **87%**까지 상승했다.
• 보안 임바고(Embargo)의 무효화: 취약점 세부 사항이 비공개 상태여도, 에이전트가 코드베이스를 자율적으로 탐색하여 취약점을 찾아내고 공격 코드를 작성할 수 있다. 이에 따라 '비밀 유지'를 전제로 한 기존 보안 프로세스가 더 이상 유효하지 않게 되었다.

오픈소스 유지보수자의 부담 증가

• Bugonomics(버그 경제학): LLM이 취약점을 대량으로 발견하고 익스플로잇을 생성하는 반면, 유지보수자의 검증 및 패치 배포 속도는 이를 따라가지 못하고 있다. 이로 인해 방어 측의 대응 능력이 병목 현상을 겪고 있다.
• 대응 전략의 변화 필요: 단순한 수동 트리아지(triage) 프로세스로는 급증하는 취약점 발견 속도를 감당할 수 없으며, LLM과 프로그램 분석 도구를 활용해 유지보수자가 더 효율적으로 취약점을 검증하고 우선순위를 정할 수 있는 워크플로우가 필요하다.