OpenAI, PHP 취약점 대응 공조

OpenAI는 지난 두 달 동안 웹사이트와 웹 애플리케이션에 쓰이는 오픈소스 언어 PHP의 심각한 취약점에 대응하며 유지관리자, 연구자, 보안 업체들의 협력을 이끌었습니다. OpenAI에 따르면 Calif는 ‘Patch the Planet’ 활동을 통해 GPT-5.6 Sol로 취약점 한 건을 발견했고, Wiz는 두 취약점을 각각 찾아 신고했습니다. PHP 유지관리자들이 수정과 배포를 주도했으며, OpenAI와 Wiz, Cloudflare 등은 공개 전 조사와 기술 지원, 조율에 참여했습니다. OpenAI는 PHP 사용자에게 수정 사항을 적용하라고 권고하고, PHP 버전을 확인하는 Codex 스킬을 공유했습니다. 운영자는 이를 통해 취약한 설치본이 있는지 파악하고 PHP 및 서비스 제공업체의 안내에 따라 적용할 업데이트를 확인할 수 있습니다.

OpenAI는 취약점의 심각성과 PHP의 광범위한 사용을 근거로 이번 결함을 최근 기억에 남을 만큼 영향이 큰 보안 문제라고 평가했습니다. 회사는 공격자가 먼저 악용하기 전에 첨단 AI가 결함을 찾아 유지관리자와 보안 업체가 공개 전 보호 조치를 준비할 시간을 확보했다고 밝혔으며, 이를 ‘방어자의 시간창’이라고 불렀습니다. 동시에 AI가 공격 도구와 익스플로잇 개발에도 쓰일 수 있다고 경고했습니다. OpenAI는 필수 서비스를 보호하지만 보안 자원이 제한된 조직을 위해 ‘Daybreak for Frontline Defenders’를 통해 보조금 지원형 Daybreak 이용권 10억 달러를 약속했습니다. 또한 이번 결함들이 발견해 수정을 진행 중인 여러 중대한 취약점 가운데 일부라고 밝혔고, 앞으로 몇 달 동안 비슷한 발견이 크게 늘 것으로 예상했습니다. OpenAI는 널리 쓰이는 소프트웨어를 위한 대응 체계 5단계를 제안하고 보안 커뮤니티에 개선 의견을 요청했습니다.

제안된 체계는 상위 단계의 취약점을 검증하고 수정 사항을 시험하는 것부터 시작합니다. 여기에는 첨단 모델을 활용한 적대적 테스트도 포함됩니다. 이어 영향을 받는 조직에 준비 시간을 주고, 정부 협력 기관과 핵심 시스템 보호를 조율하며, 영향을 받는 제품 전반의 업데이트를 준비한 뒤, 패치가 제공되면 안내와 배포 지원을 공개합니다. 공개 전 누구에게 알릴지는 유지관리자가 결정합니다. 제안 기준은 각 조직의 보호 역할과 대응에 필요한 시간, 민감한 정보를 다룰 역량입니다. 참여자는 업무에 필요한 정보를 받으며, 여기에는 침해 지표가 담긴 네트워크 로그부터 민감도가 더 높은 개념 증명 익스플로잇까지 포함될 수 있습니다. 체계는 정보 공유로 얻는 보호 효과와 제한된 세부 정보만으로도 결함이 드러날 위험을 함께 고려합니다. 실제 악용, 정보 유출, 취약점을 드러내는 공개 패치, 또는 지연으로 인한 사용자 위험 증가가 발생하면 대응팀은 일정을 재검토합니다.

‘Patch the Planet’ 웹사이트는 공개된 보안 정보와 지침을 모읍니다. PHP 항목에는 유지관리자의 패치 및 업그레이드 안내와 협력기관의 조사 결과가 연결돼 있으며, 임시 완화책, 서비스 제공업체나 전문가에게 문의할 시점, 백업과 복구 정보도 담겼습니다. OpenAI는 임시 보호 조치가 위험을 줄일 수 있지만 한계와 운영상 부담이 있다고 밝혔습니다. 운영자가 긴급 패치, 즉각적인 완화, 업데이트 계획 가운데 대응 방식을 정할 때 참고할 수 있도록 CISA의 우선순위 설정 및 개선 지침도 안내했습니다. 필요하면 포렌식 점검으로 침해 가능성을 확인할 수 있습니다.

OpenAI는 유지관리자들이 새 보안 제보와 중복 제보를 가려내고, 영향을 평가하며, 지원되는 여러 버전에서 수정 사항을 시험하려면 자금과 모델 이용권, 엔지니어링 지원이 필요하다고 밝혔습니다. 지원에는 유지관리자를 위한 Codex 오픈소스 소프트웨어 구독, Rust Foundation 같은 프로젝트 후원, ‘Patch the Planet’을 통한 실무 지원이 포함됩니다. OpenAI는 오용을 줄이기 위해 Daybreak의 추가 차단 분류기도 조정하고 있지만, 안전장치가 정당한 보안 작업을 막을 수 있다고 인정했습니다. 회사는 방어자의 폭넓은 접근성과 오용 방지책이 모두 중요하다고 밝혔습니다.

OpenAI는 AI가 더 안전한 소프트웨어 개발을 도울 방법으로 안전한 코딩 기본값과 패턴, 핵심 구성요소를 메모리 안전 언어로 옮기는 작업, 형식 검증(소프트웨어가 명시된 보안 속성을 충족한다는 증명), 샌드박스 격리(침해 시 피해를 줄이기 위한 소프트웨어 격리)를 제시했습니다. 유지관리자와 연구자, 대응팀, 서비스 제공업체, 운영자에게 취약점 공개까지의 기간, 긴급 패치, 사전 통지, 기본 보안 패키지에 대한 의견을 요청했으며, 하위 제품과 구버전 수정도 논의 주제에 포함했습니다. 또한 접근 방식의 허점을 찾을 독립 전문가 검토를 요청했습니다.

OpenAI는 지난 두 달 동안 웹사이트와 웹 애플리케이션에 쓰이는 오픈소스 언어 PHP의 심각한 취약점에 대응하며 유지관리자, 연구자, 보안 업체들의 협력을 이끌었습니다. OpenAI에 따르면 Calif는 ‘Patch the Planet’ 활동을 통해 GPT-5.6 Sol로 취약점 한 건을 발견했고, Wiz는 두 취약점을 각각 찾아 신고했습니다. PHP 유지관리자들이 수정과 배포를 주도했으며, OpenAI와 Wiz, Cloudflare 등은 공개 전 조사와 기술 지원, 조율에 참여했습니다. OpenAI는 PHP 사용자에게 수정 사항을 적용하라고 권고하고, PHP 버전을 확인하는 Codex 스킬을 공유했습니다. 운영자는 이를 통해 취약한 설치본이 있는지 파악하고 PHP 및 서비스 제공업체의 안내에 따라 적용할 업데이트를 확인할 수 있습니다.

OpenAI는 취약점의 심각성과 PHP의 광범위한 사용을 근거로 이번 결함을 최근 기억에 남을 만큼 영향이 큰 보안 문제라고 평가했습니다. 회사는 공격자가 먼저 악용하기 전에 첨단 AI가 결함을 찾아 유지관리자와 보안 업체가 공개 전 보호 조치를 준비할 시간을 확보했다고 밝혔으며, 이를 ‘방어자의 시간창’이라고 불렀습니다. 동시에 AI가 공격 도구와 익스플로잇 개발에도 쓰일 수 있다고 경고했습니다. OpenAI는 필수 서비스를 보호하지만 보안 자원이 제한된 조직을 위해 ‘Daybreak for Frontline Defenders’를 통해 보조금 지원형 Daybreak 이용권 10억 달러를 약속했습니다. 또한 이번 결함들이 발견해 수정을 진행 중인 여러 중대한 취약점 가운데 일부라고 밝혔고, 앞으로 몇 달 동안 비슷한 발견이 크게 늘 것으로 예상했습니다. OpenAI는 널리 쓰이는 소프트웨어를 위한 대응 체계 5단계를 제안하고 보안 커뮤니티에 개선 의견을 요청했습니다.

제안된 체계는 상위 단계의 취약점을 검증하고 수정 사항을 시험하는 것부터 시작합니다. 여기에는 첨단 모델을 활용한 적대적 테스트도 포함됩니다. 이어 영향을 받는 조직에 준비 시간을 주고, 정부 협력 기관과 핵심 시스템 보호를 조율하며, 영향을 받는 제품 전반의 업데이트를 준비한 뒤, 패치가 제공되면 안내와 배포 지원을 공개합니다. 공개 전 누구에게 알릴지는 유지관리자가 결정합니다. 제안 기준은 각 조직의 보호 역할과 대응에 필요한 시간, 민감한 정보를 다룰 역량입니다. 참여자는 업무에 필요한 정보를 받으며, 여기에는 침해 지표가 담긴 네트워크 로그부터 민감도가 더 높은 개념 증명 익스플로잇까지 포함될 수 있습니다. 체계는 정보 공유로 얻는 보호 효과와 제한된 세부 정보만으로도 결함이 드러날 위험을 함께 고려합니다. 실제 악용, 정보 유출, 취약점을 드러내는 공개 패치, 또는 지연으로 인한 사용자 위험 증가가 발생하면 대응팀은 일정을 재검토합니다.

‘Patch the Planet’ 웹사이트는 공개된 보안 정보와 지침을 모읍니다. PHP 항목에는 유지관리자의 패치 및 업그레이드 안내와 협력기관의 조사 결과가 연결돼 있으며, 임시 완화책, 서비스 제공업체나 전문가에게 문의할 시점, 백업과 복구 정보도 담겼습니다. OpenAI는 임시 보호 조치가 위험을 줄일 수 있지만 한계와 운영상 부담이 있다고 밝혔습니다. 운영자가 긴급 패치, 즉각적인 완화, 업데이트 계획 가운데 대응 방식을 정할 때 참고할 수 있도록 CISA의 우선순위 설정 및 개선 지침도 안내했습니다. 필요하면 포렌식 점검으로 침해 가능성을 확인할 수 있습니다.

OpenAI는 유지관리자들이 새 보안 제보와 중복 제보를 가려내고, 영향을 평가하며, 지원되는 여러 버전에서 수정 사항을 시험하려면 자금과 모델 이용권, 엔지니어링 지원이 필요하다고 밝혔습니다. 지원에는 유지관리자를 위한 Codex 오픈소스 소프트웨어 구독, Rust Foundation 같은 프로젝트 후원, ‘Patch the Planet’을 통한 실무 지원이 포함됩니다. OpenAI는 오용을 줄이기 위해 Daybreak의 추가 차단 분류기도 조정하고 있지만, 안전장치가 정당한 보안 작업을 막을 수 있다고 인정했습니다. 회사는 방어자의 폭넓은 접근성과 오용 방지책이 모두 중요하다고 밝혔습니다.

OpenAI는 AI가 더 안전한 소프트웨어 개발을 도울 방법으로 안전한 코딩 기본값과 패턴, 핵심 구성요소를 메모리 안전 언어로 옮기는 작업, 형식 검증(소프트웨어가 명시된 보안 속성을 충족한다는 증명), 샌드박스 격리(침해 시 피해를 줄이기 위한 소프트웨어 격리)를 제시했습니다. 유지관리자와 연구자, 대응팀, 서비스 제공업체, 운영자에게 취약점 공개까지의 기간, 긴급 패치, 사전 통지, 기본 보안 패키지에 대한 의견을 요청했으며, 하위 제품과 구버전 수정도 논의 주제에 포함했습니다. 또한 접근 방식의 허점을 찾을 독립 전문가 검토를 요청했습니다.