Trail of Bits는 오픈AI의 Daybreak 이니셔티브와 협력해 오픈소스 프로젝트의 보안 문제를 찾고 수정하는 Patch the Planet을 시작했다. 첫 주에 19개 프로젝트에서 버그 수백 건을 발견하고 풀 리퀘스트 64건과 이슈 51건을 제출했으며, 이 가운데 패치 37건이 이미 병합됐다.
Trail of Bits에 따르면 GPT-5.5-Cyber 같은 최신 모델이 보안 문제를 빠르게 찾아내면서, 유지관리자는 실제 취약점과 그럴듯한 오탐을 구분해야 하는 부담을 안게 됐다. 이 프로젝트에서는 Trail of Bits 엔지니어가 발견 사항을 검토하고 유지관리자와 함께 수정과 코드 보강까지 진행한다. 첫 주 작업 대상에는 cURL, NATS, aiohttp, Go 프로젝트, Python, PyPI, RustCrypto 등이 포함됐다. 현재 참여를 약속한 프로젝트는 30곳이 넘으며, 일부 결과는 공동 공개 절차가 진행 중이라 공개 집계에 포함되지 않았다.
제출한 변경에는 버그 수정뿐 아니라 테스트와 퍼징(fuzzing) 도구, CI 보안 검사, 소프트웨어 공급망 개선도 포함됐다. 예를 들어 python.org에는 zizmor를 이용한 GitHub Actions 정적 분석을 CI에 통합했고, RustCrypto에는 정확성 수정과 기능 변경을 제안했다. Python의 Windows 배포물에는 SBOM 부속 파일을 추가하는 작업도 진행했다. aiohttp 유지관리자는 비공개로 전달된 문제 8건을 몇 시간 안에 모두 수정해 병합했다고 Trail of Bits는 전했다.
Trail of Bits는 GPT-5.5-Cyber가 하루 안에 퍼징 실험 환경을 구축했고, 이를 수동으로 수행했다면 퍼징 전문가에게 2~3주가 걸렸을 것으로 추정했다. Codex를 활용한 과거 CVE 변형 분석과 여러 암호화 라이브러리의 차등 테스트에서도 문제를 찾았다고 밝혔다. 다만 이 수치는 Trail of Bits가 보고한 결과와 추정치다.
Trail of Bits는 취약점 탐지 이후의 확인, 심각도 판정, 유지관리자가 받아들일 수 있는 패치 작성, 공개 조율이 보안 작업에서 중요한 부담이 되고 있다고 설명한다. AI가 만든 보고서가 늘어날수록 중복 제거와 오탐 필터링, 심각도 조정이 필요하다는 것이다. 유지관리자에게는 프로젝트별 위협 모델과 심각도 기준을 문서화하고, AI 도구가 참고할 자료를 AGENTS.md 등에 명시하라고 권했다. PyCA의 보안 문서가 후보 버그의 오탐을 줄이는 데 효과적이었다는 것이 Trail of Bits의 설명이다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요