AI, PHP 취약점 이용한 공격 증명 스스로 작성… 보안계 'AI 악용' 우려 증폭

노형석 기자

작성일 2026-10-27 08:02

인공지능(AI) 기반 사이버 보안 모델인 OrcaCyber Zero 1.5가 PHP의 치명적인 원격 코드 실행 취약점 두 건을 스스로 조사하고, 이에 대한 공격 증명(Proof of Concept)을 작성했다고 컨티뉴엄 AI(CONTINUUM AI)가 밝혔다.

OrcaRouter는 2026년 10월 22일 공식 채널을 통해 이 같은 사실을 전하며, 취약점의 심각성과 웹 전반에 미칠 잠재적 영향을 이유로 악용 코드와 기술 세부 내용은 공개하지 않기로 결정했다고 설명했다. 다만, PHP 운영자들에게는 지원이 종료되지 않은 보안 버전으로 즉시 업데이트할 것을 강력히 권고했다.

이번에 발견된 취약점(CVE-2026-109618, CVE-2026-109619)은 PHP 엔진 자체의 결함으로, 웹사이트와 플러그인을 최신 상태로 유지하더라도 PHP 버전이 취약하면 그대로 위험에 노출될 수 있다. 특히 PHP 7.4 버전은 2022년 11월 28일부로 지원이 종료되어, 이후 발견된 취약점에 대한 보안 업데이트가 적용되지 않은 상태다.

OrcaRouter는 공개된 권고문과 버전 정보만을 근거로, 사람이 단계를 일일이 지정하지 않아도 완전한 공격 증명을 독립적으로 작성했다고 밝혔다. 이는 수정 버전이 배포되기 전에도 AI가 공격 체인을 완성할 수 있음을 보여주는 사례로, 보안 업계에 AI를 악용한 사이버 공격에 대한 우려를 증폭시키고 있다.

미국 국가안보국(NSA)은 해당 취약점 발표 직후 즉시 업데이트를 적용하거나, 적용이 어려울 경우 시스템을 완전히 오프라인으로 전환할 것을 권고한 바 있다.

OrcaRouter는 이번 작업이 취약점의 존재 확인을 넘어 실제 공격 재현까지 자율적으로 수행했다는 점에서 의미가 있다고 평가했다. AI 모델인 OrcaCyber Zero 1.5는 취약점 연구, 재현, 익스플로잇 개발, 침투 테스트 등 고급 사이버 추론을 위해 사후 학습된 모델로 알려졌다.

한편, OrcaRouter는 사이버 모델에 대한 접근 권한을 신원 및 사업자 확인, 정책 동의 등의 엄격한 검토를 거친 확인된 팀에게만 제한적으로 허용하고 있다고 밝혔다. 모든 호출은 이용 정책에 따라 관리되며, 일반 모델 앞단에서도 가드레일과 에이전트 방화벽을 실행하는 등 보안 조치를 강화하고 있다.

이번 AI의 자율적인 공격 증명 작성 사례는 보안 방어자들에게 AI 기술의 발전 속도에 발맞춘 새로운 방어 전략 마련의 시급성을 시사하고 있다.