# 은행과 게임이 모두 멈춘 밤. 결함을 발견한 것은 AI 였다

> https://bookfactory.kr/board/news/23606
> 게시판: 뉴스
> 작성자: admin
> 작성일: 2026-10-24T09:33:57.731Z

---

은행도 인기 게임도 스트리밍 서비스도 모두 동시에 멈췄습니다. 하지만 정말 놀랐던 것은 멈추었다는 사실이 아니라, 그 결함을 발견한 것이 인간이 아닌 인공지능이라는 점입니다.

## 한꺼번에 멈춘 밤

2026 년 10 월 21 일 밤, 인터넷의 각처가 일제히 멈췄습니다. 지쿠젠 은행의 인터넷 뱅킹, 일러스트投稿 사이트 픽시브, 게임 '도검란무'. 장르와 회사도 모두 다르지만, 그 이유는 하나였습니다.

전 세계 웹사이트 중 사용 언어가 판별 가능한 사이트 약 70% 에서 널리 쓰이는 프로그래밍 언어인 PHP 에 중대한 취약점이 2 개 발견되었습니다. 이 취약점의 통칭은 'PHP2Shell'(CVE-2026-109618/CVE-2026-109619) 입니다. 로그인하지 않은 외부 사용자가 조건이 충족되면 요청을 통해 서버 상의 코드를 실행할 수 있는 결함으로, 심각도는 CVSS 9.2 입니다. 결함의 원인은 메모리 부족 시 처리에 기인한 메모리 손상과 해제된 메모리 영역을 계속 참조하는 오류였습니다. 피해 대상은 주요 실행 방식의 거의 대부분이며, 지원이 종료된 PHP 8.1 이전 버전에는 수정 자체가 제공되지 않습니다.

각社は「공격당해서 멈추는 것」보다 스스로 멈추는 것을 선택했습니다. 고시 총리는 X 에서 기업에 대응을 요청하는 '급한 부탁'으로 호소하고 있습니다(하슈아웃 보도에 따르면).

하지만 이 사건의 진정한 주인공은 취약점 그 자체라기보다, 이를 극도로 활용했던 AI 와 연구자들입니다.

## 관점 1: AI 의 '깊음'이 인간의 한계를 초월했다

이번 결함은 PHP 내부에 10 년 이상 잠들어 있었다고 추정됩니다. 인간 전문가가 계속 놓쳐온 부분입니다. PHP 재단 자체도 2024 년 감사에서 한 가지 징후를 인지하고 있었으나, 수정 방안에서 의견이 갈라져 작업이 수 개월 동안 중단되었음을 인정하고 있습니다 (미야노 히로키 씨의 note 기사 참조).

AI 활용법은 다음과 같습니다. 방대한 코드를 스캔하고 의심스러운 메모리 처리를 찾아내며, 관련 부분을 추적하고 검증하는 코드까지 작성하는 것입니다. 사람이 이를 수행한다면 '전체 읽기'만으로 인생을 마감하는 작업입니다. 보안 기업 칼리프는 OpenAI 의 모델 'GPT-5.6 Sol'을 사용하여 PHP 코드 감사를 수행하며 이 결함을 발견했고, 구글 산하 Wiz 역시 Gemini 4 Argon 과 GPT-5.6 Sol 을 병용하여 독자적으로 동일한 결함을 발견했습니다(한국경제신문 MK 의 보도에 따르면).

관심해야 할 점은 두 팀이 거의 독립적으로 동일한 10 년대 초기의 결함을 발견했다는 사실입니다. 이는 단순히 한 번에 발생한 우연이 아니라, AI 의 수준이 일정 수준을 넘어서면서 '잠겨있던 결함이 동시에 대량으로 드러나는' 단계에 진입했음을 시사합니다.

AI 의 진정한 힘은 화려한 생성 능력보다는, 이러한 끝없는 근심에서 드러난다고 생각합니다.

## 관점 2: AI 의 진화는 '사용'에서 '점검'으로

얼마 전까지만 해도 AI 는 "말씀하신 대로 만들어내는 도구"였습니다. 글을 쓰거나, 코드를 작성하거나, 이미지를 생성하는 데 쓰였습니다.

하지만 이번에는 AI 가 점검한 것은 세계의 기반 그 자체입니다. 세계 사이트 70% 를 지탱하는 언어 안을 감사평가하고, 사회에 '여기가 고장 났다'고 보고했습니다.

개발자 입장에서 결론은 실무적입니다. 앞으로는 AI 를 활용한 코드 감사 개발 프로세스에 포함시키고, 사용 중인 언어와 라이브러리 버전을 정리해 두어야 합니다. 긴급 패치를 즉시 테스트할 수 있는 환경과 '중단 판단' 기준을 미리 정해 두어야 합니다. 이번에는 바로 중단한 기업들이 대부분 이 판단을 신속하게 내린 기업들이었습니다.

## 観点3：だからこそ、怖い――当事者たちの声

진실하게 기록하면 두려운 이야기이기도 합니다. 그리고 이 두려움은 저의感想이 아니라, 당사자들이 실제로 입을 열어 말하고 있습니다.

OpenAI 는 이 사건을 최근 가장 광범위한 영향을 미친 보안 문제 중 하나로 규정하고, AI 의 결함 발견 능력이 '공격 도구를 더 빠르게 제작하는 데에도 활용될 수 있다'고 경고했습니다 (한국경제신문 MK 의 보도에 의함). 발견 속도가 빨라진 것은 공격자의 속도도 빨라진다는 것을 의미합니다. 실제로 전문가들이 수 개월을 걸려 개발한다고 알려진 공격 검증 코드를 한 명의 연구자가 약 일주일 만에 작성했다는 보도가 있었습니다.

미국 NSA 는 "패치가 적용되지 않는다면 오프라인으로 전환하라"는까지 권고했습니다 (동기 보도에 의함). 국가 기관이 "연결하지 마라"고 하는 수준의 이야기였다는 뜻입니다.

공개 프로세스조차 AI 의 속도에 견주어 무너졌습니다. 수정 버전 공개 전 취약점 정보가 SNS 에 유출되어 공개가 하루 앞당겨졌고, 발견자 측의 검증 영상도 실수로 공개된 장면이 있었다고 전해집니다. 해외 보도에서는 '바그마게돈 (바그로 인한 대재난)'이라는 표현까지 등장했습니다.

그리고 PHP 재단은 징후를 포착하면서도 수정이 멈추는 문제를 '구조적 실패'로 인정했습니다 (동기 기사 참조). 취약점은 코드 내부뿐만 아니라 '수정하는 시스템' 자체에도 있었습니다.

## 관점 4: 그럼에도 불구하고 희망의 가능성도 있다.

한편 이번 사례는 AI 가 보호하는 측면에서 올바르게 활용된 경우입니다.

AI 가 발견하고 인간이 이를 수용한 뒤 수정본이 준비되었으며, 전 세계 관리자가 동시에 대응했다. 혼란은 있었으나, 큰 피해가 보고되기 직전 방어측의 협조가 적기에 이루어졌다고도 할 수 있다.

가장 상징적인 사례는 보안 기업 체인거드가 공식 배포보다 6 시간 이상 일찍 수정 이미지를 공개한 일입니다. PHP 재단으로부터 비판을 받았지만, 해당 회사의 CEO 는 "실제로 공격이 시작되었다는 보고를 받아 결정했다"고 설명했습니다 (한국경제신문 MK 의 보도에 의함). 찬반 여부와는 달리, 'AI 로 찾기 → 수정 → 배포'라는 순환이 실제로 돌아오기 시작한 증거라고 할 수 있습니다.

공격이 규모를 키울 수 있다면 방어도 마찬가지입니다. 문제는 'AI 를 사용하느냐 아니냐'가 아니라 'AI 를 어디에 배치하고 어떻게 구성하느냐'입니다.

## 내 이야기

저는 평소 로컬 AI 에게 '문지기 → 알람 → 강력한 모델'이라는 단계적 방어 체계를 구축하고 있습니다. 솔직히 말하면 이번 결함은 언어 처리 시스템 자체의 문제이며, 입구 문지기 단계에서는 포착되지 않습니다.

이번 학습은 경비병의 이야기라기보다, 제품 출하 전 AI 감사, 패치 적용 속도, 그리고 조직이 합의에 도달하는 속도에 관한 이야기입니다.

앞으로의 시대에는 AI 가 문제를 찾아내고, AI 가 이를 지키는 것이 될 것입니다. 인간의 역할은 AI 와 직접 대결하는 것이 아니라, AI 간의 힘의 관계를 설계하고, 이를 교정하는 시스템을 구축하는 것으로 옮겨갈 것입니다.

버그를 발견한 사람이 인간이 아니었던 그 밤은 분명히 나중에 되돌아보게 될 전환점이 될 것이다.

(본 기사의 정보는 일본 경제신문 보도를 바탕으로 미야노 히로키 씨의 note 기사와 hashout, 한국 경제신문 MK 를 확인하여 정리한 것입니다.)

**출처:** [note 원문](https://note.com/aoki722/n/n91ad079051bd)

*번역: Qwen 3.5(.48) 초벌 + 교정 16청크*

[원문 보기](https://note.com/aoki722/n/n91ad079051bd) | 출처: note.com