버그 소문만으로 익스플로잇이 만들어지는 시대

OCaml cohttp 6.3.0의 경로 순회 취약점 수정 PR을 공개하자 약 10분 만에 실제 서버로 같은 패턴의 탐색 요청이 들어왔으며, AI 에이전트는 대략적인 취약점 유형만으로 1분 안에 공격 코드를 생성함 에이전트가 상세 패치 없이도 취약점을 조사할 수 있어 기존 보안 엠바고의 전제가 약해짐. GPT-4 에이전트는 CVE 설명이 있을 때 15개 취약점 벤치마크의 87%를 악용했지만, 설명이 없을 때는 7%에 그침 2026년 평균 악용 소요 시간은 패치보다 7일 빠른 -7일이며, marimo CVE-2026-39987과 Langflow CVE-2026-33017도 공개 후 각각 9시간과 20시간 만에 공격 시도가 발생함 LLM이 취약점 탐색과 익스플로잇 생성을 가속하는 동안 유지보수자의 검증·분류·릴리스 처리량은 그대로여서, 방어자 수정 처리량이 새로운 병목으로 부상함 OSS는 비공개 협업에만 의존하지 말고 지속적 릴리스, 생태계 간 패키지 추적, 다중 플랫폼 품질 관리, 프로토콜 계층의 가상 패치를 결합해 정보 유출 후 수초 안에 시작될 수 있는 공격에 대응해야 함 cohttp 취약점이 보여준 공격 속도 cohttp 6.3.0은 경로 순회 취약점을 수정함 과거 방식이라면 비공개로 수정하고 영향받는 사용자에게 알린 뒤 공개 권고를 발행했을 사안임 실제로는 수정 PR을 연 지 몇 분 만에 라이브 웹 서버 로그에서 정확히 같은 버그 패턴의 탐색 요청이 발견됨 취약점은 Jane Street의 비공개 Slack 채널을 통해 전달됐으며, Claude Fable이 처음 발견함 영향을 받는 코드에서 경로 정규화 문제를 조사하도록 에이전트에 요청하자 모델별 접근성 차이가 나타남 Fable은 보안 제한과 Project Glasswing 접근 권한 부재 때문에 요청을 거절함 DeepSeek V4 Pro는 관련 문제 여러 개를 독립적으로 찾아냄 로컬 라이브 서버를 탐색하는 익스플로잇도 1분 이내에 생성함 수정 방향을 조율한 뒤 공개한 cohttp#1145는 약 10분 만에 percent-encoded 경로 순회 시퀀스를 찾는 요청을 유발함 공개 저장소를 감시하는 자동화 시스템이 존재한다는 징후임 패키지 저장소를 감시하는 공격자는 수초 안에 악용을 시작할 수 있음 보안 엠바고의 약화 기존 보안 엠바고는 취약점 세부 사항을 숨기면 사용자를 보호할 수 있다는 전제에 의존함 오늘날 에이전트는 대략적인 탐색 방향만 받아도 자체적으로...