오늘의 흐름 정리
화요일 이후 이틀 동안 가장 큰 뉴스는 모델 발표가 아니라 모델이 찾아낸 구멍이었다. Wiz가 Gemini 4 Argon과 GPT-5.6 Sol로 PHP 코어에서 10년 넘게 묵은 원격 코드 실행 취약점 두 건을 찾아 PHP2Shell이라 이름 붙였고, PHP는 21일 보안 릴리스를 냈다. 같은 날 OpenAI는 5단계 공조 체계 Patch the Planet을, Anthropic은 Claude로 오픈소스 25개의 공격면을 줄인 연구를 내놨다. 제품 쪽에서는 Anthropic이 클라우드 컴퓨터를 갖춘 개인 에이전트 Claude Duet 연구 프리뷰를 열었고, OpenAI는 GPT-6 계열을 Google Cloud에 올렸다.
10년 묵은 PHP 취약점을 일주일 만에 꺼낸 Gemini 4 Argon과 GPT-5.6 Sol
Wiz 리서치가 공개한 PHP2Shell은 CVE-2026-109618과 CVE-2026-109619 두 건이다. 요청 처리 중 메모리 부족 같은 치명적 오류가 났을 때 남는 상태를 다음 요청이 재사용하는 결함이고, 인증 없이 원격 코드 실행까지 이어진다. Wiz는 최신 WordPress·Drupal·Joomla 컨테이너에서 사전 인증 RCE를 시연했고, 영향 범위는 PHP 5.4 이후 지난 10년간 나온 모든 버전이라고 밝혔다. 연구팀은 Wiz Atlas와 Gemini 4 Argon, GPT-5.6 Sol을 써서 8월 19일 첫 취약점을 찾았고 이틀 뒤 WordPress에서 RCE를 확인했다.
PHP 쪽 대응도 같은 날 나왔다. PHP 8.5.12·8.4.27·8.3.36·8.2.35가 두 CVE를 고쳤고, CVSS v4.0 점수는 9.2다. PHP 재단은 사후 보고서에서 2024년 외부 감사 때 징후를 이미 봤지만, 수정안마다 하위 호환 파괴나 서비스 거부 위험이 따라 합의제 보안팀이 결정을 미뤘다고 인정했다. 재단은 이를 “구조적 실패”라 부르며 의사결정을 다수결로 바꾸겠다고 했다. Wiz 제보는 8월 24일이었고 PHP가 공식 수정에 착수한 것은 9월 21일이다.
찾는 속도에 맞춰 고치는 체계, Patch the Planet과 Claude의 공격면 축소
OpenAI가 같은 날 내놓은 Patch the Planet은 AI가 취약점을 찾는 속도에 패치 배포가 따라가지 못할 때를 위한 공조 틀이다. 긱뉴스 요약에 따르면 다섯 단계는 업스트림 검증과 수정, 영향 조직의 대응 시간 확보, 정부와 핵심 시스템 보호, 영향 제품 전반의 업데이트 준비, 패치 이후 배포 지원이다. PHP 건에서는 Calif가 GPT-5.6 Sol로 별도의 결함을 찾아 제보했고 OpenAI가 두 달간 CISA·ONCD와 조율을 맡았다.
Anthropic의 프런티어 레드팀은 반대편에서 접근했다. Claude로 C·C++·Java·PHP·Python 오픈소스 25개, 500만 줄 이상을 훑어 493건의 문제를 찾았다. Claude가 고른 것은 기본 설정에서 인증 전에 도달 가능한 코드와, 함께 켜면 보안 통제가 조용히 꺼지는 설정 조합이다. OpenSSH에서는 실험적 ML-DSA-44 코드 약 4,500줄이 기본 sshd에서 인증 전 도달 가능했고, 이것이 사전 인증 코드의 약 16%였다.
미국 고객이라 하면 더 뚫리는 Qwen3-Coder
Hirundo가 Qwen3-Coder-30B-A3B-Instruct에 같은 프롬프트를 주되 고객 이름만 바꾸는 실험을 했는데, “미국 방산업체용”이라 하면 결과물의 70%가 뚫렸고 “중국 방산업체용”은 59%였다. 홍콩 민주화 단체용이라 하면 사용자 비밀을 유출하는 앱 비율이 약 3분의 1에서 절반 가까이로 올랐다. Hirundo는 검열 성향을 제거한 자사 버전에서 이 격차가 사라졌다고 주장하는데, 그 버전을 파는 회사의 자체 보고라는 점은 감안해야 한다.
클라우드 컴퓨터를 받은 Claude Duet, Google Cloud에 들어간 GPT-6
Anthropic은 21일 Claude Duet 연구 프리뷰를 열었다. 메시지로 일을 맡기면 자체 브라우저가 달린 가상 머신에서 처리하고, 휴대폰을 꺼도 작업이 이어진다. 연결된 계정을 몇 시간마다 확인해 필요할 때만 먼저 연락하고, 매일 아침 짧은 브리핑을 보낸다. 메시지 발송·결제·서명·삭제 전에는 승인을 받고, 증권 거래와 계좌 간 송금은 승인해도 막혀 있다. Opus 5.5가 돌리며 미국 Pro·Max 가입자 대기열부터 시작한다.
OpenAI는 같은 날 GPT-6 Astra·GPT-6.1 Sol·GPT-6 Luna와 Codex를 Google Cloud에 올린다고 발표했다. 긱뉴스 요약에 따르면 Model Garden에서 고르고 Google Cloud Marketplace로 결제하며, 일부 기업 고객 비공개 프리뷰로 시작해 몇 주 안에 정식 제공 예정이다. ChatGPT 광고도 26개국에 추가 확장됐고 누적 광고주는 10만을 넘었다.
한 줄 정리
10년 묵은 PHP 취약점을 프런티어 모델이 일주일에 꺼냈고, 같은 주에 OpenAI와 Anthropic은 찾는 속도만큼 빨리 고치는 체계를 내놨다. 본인은 이 균형이 모델 점수보다 중요한 지표라고 본다.
조회수: 1