전 세계 200억 개 인스턴스 curl에서 발견된 6개의 CVE

전 세계 스마트 냉장고부터 우주선까지 200억 개 이상의 인스턴스에 배포된 소프트웨어 curl에서 새로운 보안 취약점 6개가 확인됐다. 이번 발견은 2026년 8월 24일, curl의 창시자인 다니엘 스텐버그(Daniel Stenberg)가 프런티어 AI 보안 시스템들의 분석 결과를 공개한 직후에 이뤄졌다. 당시 스텐버그는 앤스로픽(Anthropic)의 미토스(Mythos)와 오픈AI(OpenAI)의 코덱스 시큐리티(Codex Security)가 더 이상 취약점을 찾을 수 없다는 '제로(0)' 결과값을 냈다고 밝혔다.

하지만 바로 다음 날, AISLE의 자율 AI 시스템이 curl을 분석해 29건의 보고서를 제출했다. 이 중 6건은 curl 보안팀의 검토를 거쳐 실제 취약점으로 인정받았으며, 공식적으로 CVE(Common Vulnerabilities and Exposures) 지정이 이뤄졌다. 해당 취약점들은 8월 24일부터 27일 사이에 순차적으로 보고되었으며, 최근 릴리스된 curl 8.22.0 버전에서 모두 수정됐다.

발견된 6개 취약점의 심각도는 모두 '낮음(Low)'으로 평가됐다. 이는 취약점이 없어서가 아니라, curl의 엔지니어링 성숙도가 매우 높아 취약점이 매우 좁은 설정이나 미묘한 상호작용 속에서만 숨어 있어 실제 영향력이 제한적이기 때문이다. 결과적으로 8월 28일 기준, curl의 대기 중인 CVE 수는 기존 3개에서 10개로 늘어났으며, 그중 6개가 AISLE에 의해 발견된 것이다.

'모델'을 넘어 '시스템'으로 이동하는 보안 AI 경쟁

범용 AI 모델이 해결하지 못한 문제를 특화된 자율 시스템이 해결했다는 점이 이번 사건의 핵심이다. 기존의 AI 보안 평가는 주로 정답이 정해진 CTF(Capture The Flag) 챌린지나 벤치마크 데이터셋을 활용했다. 이 경우 모델이 학습 데이터에서 정답을 기억해 내는 '데이터 오염' 문제가 발생할 수 있다. 반면 이번 curl 사례는 실제 운영 중인 프로덕션 코드를 대상으로 했으며, 최종 판단은 AI가 아닌 도메인 전문가인 curl 유지관리자가 내렸다는 점에서 외부 검증의 객관성이 높다.

이러한 현상은 curl에만 국한되지 않는다. 리눅스 스테이블 릴리스의 오랜 유지관리자인 그레그 크로아-하트만(Greg Kroah-Hartman)은 리눅스 커널에서도 동일한 패턴이 관찰되고 있다고 밝혔다. 프런티어 AI 랩의 모델들이 찾아내지 못한 취약점을 AISLE의 시스템이 찾아내는 양상이 반복되고 있다는 의미다.

AISLE은 이를 '시스템 대 모델(System over Model)' 가설로 설명한다. 단순히 거대 언어 모델(LLM) 하나에 의존하는 것이 아니라, 제로데이 발견에 최적화된 자율 AI 시스템을 구축했을 때 실전 보안 영역에서 프런티어 모델을 압도할 수 있다는 주장이다. 이는 AI 보안 시장의 경쟁 축이 '누가 더 큰 모델을 가졌는가'에서 '누가 더 정교한 자율 분석 워크플로우를 설계했는가'로 이동하고 있음을 보여준다.

한국 AI 실무자가 관찰해야 할 보안 감사 체계의 변화

보안 실무자와 개발자가 주목해야 할 지점은 AI를 활용한 코드 감사(Audit)의 방식이 '단발성 질의'에서 '자율적 탐색'으로 변하고 있다는 것이다. 기존에는 개발자가 의심되는 코드 구간을 AI에게 묻는 방식이었다면, 이제는 시스템이 스스로 코드를 탐색하고 취약점 후보를 생성하며 이를 검증하는 자율 루프가 실질적인 성과를 내기 시작했다.

특히 폐쇄망(Air-gapped), 온프레미스, 클라우드 등 다양한 환경에서 작동하는 'AISLE Snapshot'과 같은 일회성 AI 코드 감사 도구의 등장은 기업의 보안 채택 전략을 바꿀 수 있다. 모든 코드를 외부 모델에 전송하지 않고도 특화된 시스템을 통해 제로데이 취약점을 사전에 걸러낼 수 있는 선택지가 생겼기 때문이다.

앞으로 관찰해야 할 신호는 이러한 특화 AI 시스템이 발견한 취약점이 얼마나 빠르게 실제 CVE로 전환되는가 하는 '검증 효율'이다. 범용 모델의 '제로' 결과에 안주하지 않고, 전문화된 자율 시스템을 통해 보안 사각지대를 재검증하는 프로세스를 도입하는 것이 실무적인 리스크 관리의 새로운 기준이 될 가능성이 크다.