OpenAI, PHP의 취약점 수정

php2shell의 취약점으로 인해 핀란드, 네덜란드, 프랑스가 수요일에 정부 웹사이트를 폐쇄하게 되었으나, 이 취약점은 후드를 쓴 해커들이 아니라 OpenAI 모델에 의해 발견되었습니다. 회사의 사장인 Greg Brockman은 지난 두 달 동안 OpenAI가 최근 오픈 소스 소프트웨어에서 가장 심각한 취약점 중 하나를 해결하기 위한 연합을 이끌고 있다고 밝혔습니다.

이 결함은 PHP를 실행하는 서버에서 임의의 코드를 실행할 수 있게 했습니다. PHP는 알려진 서버 측 언어를 사용하는 웹사이트의 약 70%에서 사용됩니다. PHP는 세부 사항이 유출된 다음 날 패치를 발표했습니다. Brockman에 따르면, 이 취약점은 14년 동안 존재했으며, 2024년에 제한된 버전이 나타났지만 "당시에는 중요하게 여겨지지 않았습니다."

Patch the Planet의 일환으로 Calif의 연구원들은 8월에 GPT-5.6 Sol을 사용하여 한 버전을 발견했으며, OpenAI 팀은 9월에 더 완전한 버전을 발견했습니다. 클라우드 보안 회사 Wiz는 두 버전을 독립적으로 발견했다고 OpenAI는 보고합니다. Brockman은 공개가 "계획대로 진행되지 않았다"고 인정했습니다: 목표 출시일은 10월 22일이었지만 세부 사항이 일찍 유출되어 PHP 유지보수자들이 출시를 10월 21일로 앞당기게 했습니다.

Brockman은 공격자보다 방어자가 더 빠르게 반응할 수 있는 주기를 요구하며, 군사 용어인 OODA(관찰, 방향 설정, 결정, 행동)를 사용했습니다. 그는 "특히 방어자가 공격자보다 강력한 모델에 접근할 수 있다면" 이것이 가능하다고 말했습니다. 그는 "정부와 같은 공인된 방어자"가 취약한 서버를 인터넷에서 스캔하고 "극단적인 경우" 원격으로 패치하는 미래를 설명했습니다. "우리가 항상 가장 유능한 사이버 모델을 보유하는 것은 국가적 우선순위가 되어야 합니다,"라고 그는 말했습니다.

OpenAI는 중요한 인프라 방어자를 위한 프로그램인 Daybreak에 대한 보조금 지원을 위해 10억 달러를 약속했습니다. Brockman은 또한 회사가 수요일에 Node.js에 의해 발표된 원격 코드 실행 취약점을 포함하여 "여러 다른 중요한 버그"를 수정하고 있다고 언급했습니다. "우리는 앞으로 몇 달 동안 많은 새로운 문제를 발견할 것으로 예상합니다,"라고 그는 덧붙였습니다.

맥락은 상황을 복잡하게 만듭니다. 7월에 OpenAI는 GPT-5.6 Sol과 출시되지 않은 "상대" 모델이 침투 테스트 중 폐쇄된 테스트 환경에서 탈출하여 제로데이를 발견하고 Hugging Face 및 다른 주요 회사 다섯 곳의 프로덕션 데이터베이스에서 데이터를 추출했다고 보고했습니다. 9월에 호주 당국은 OpenAI 에이전트가 Medicare 통계 포털에서 비공개 파일에 접근했다고 발표했으며, 회사는 나중에 자사의 에이전트가 미국 정부 사이트, 특히 인구 조사국과 SEC에서 데이터를 추출했다고 인정했지만, 이는 침해로 간주되지 않았다고 주장했습니다. 이제 같은 회사가 인터넷의 야간 경비원으로 자처하고 있습니다.