제로데이 익스플로잇

제로데이 익스플로잇은 아직 개발사도 모르는 소프트웨어의 보안 구멍을 찾아내 실제로 침입하는 데 쓰는 공격 방법이다. 집에 아무도 몰랐던 틈새 문이 있는데, 누군가 그걸 먼저 발견해서 몰래 열고 들어가는 상황과 비슷하다. '제로데이'라는 이름은 그 구멍이 세상에 알려진 날부터 방어팀이 고칠 수 있는 시간이 0일, 즉 전혀 없었다는 뜻에서 붙었다.

여기서 중요한 건 '찾아내는 것'과 '실제로 쓸 수 있게 만드는 것'은 다른 일이라는 점이다. 구멍이 있다는 사실을 아는 것과, 그 구멍으로 진짜 들어갈 수 있는 열쇠(공격 코드)를 만드는 것 사이에는 큰 차이가 있다. 그래서 보안 업계는 단순히 취약점을 발견하는 능력과 그걸 써먹을 수 있는 형태로 완성하는 능력을 따로 구분해서 본다.

최근 화두는 AI 모델이 이 두 단계를 사람 도움 없이 스스로 해낼 수 있느냐다. 지금까지는 뛰어난 보안 전문가가 몇 주씩 매달려야 찾아낼 만한 구멍을, AI가 훨씬 짧은 시간에 대량으로 찾아내고 곧바로 작동하는 공격 코드까지 만들어낸다면, 방어하는 쪽이 대비할 시간은 그만큼 더 줄어든다.

기사는 오픈AI가 출시 예정 모델 Astra를 두고 '사람 개입 없이 다수의 실제 핵심 시스템에서 모든 심각도 수준의 기능적 제로데이 익스플로잇을 식별하고 개발할 수 있는지'를 기준으로 위험 등급을 매겼다고 전한다. 오해하기 쉬운 부분은 이게 AI가 만든 새로운 결함이 아니라, 원래 소프트웨어에 존재하던 구멍을 AI가 얼마나 빨리 찾아내고 실제 공격 도구로 완성해내느냐를 재는 기준이라는 점이다.