AI로 취약점 발견 쉬워지자 비트코인 코어 보안 정책 변경

AI가 더욱 지능화됨에 따라 비트코인 코어, 전략 전환

10월 22일 비트코인 개발 메일링 리스트에 게시된 메시지에서, 비트코인 코어 개발자 앙투안 푸앵소(Antoine Poinsot)는 최소한의 노력만으로도 발견되거나 재발견될 수 있는 버그와 관련된 보안 보고가 증가하고 있음을 언급하며, 프로젝트의 취약점 공개 정책 변경을 발표했다.

“최근 쉽게 (재)발견될 수 있는 보안 취약점에 대한 보고 건수가 증가했습니다,”라고 푸앵소트는 썼다. “이는 주로 대규모 언어 모델(LLM)이 특정 유형의 문제를 찾거나 은밀한 수정 사항을 식별하는 데 필요한 문턱을 획기적으로 낮췄기 때문입니다.”

대규모 언어 모델(LLM)은 ChatGPT와 같은 AI 어시스턴트의 기반이 되는 기술입니다. 소프트웨어 코드를 분석하는 이들의 능력이 점점 향상됨에 따라, 투명성과 사용자를 공격으로부터 보호해야 할 필요성 사이에서 균형을 맞추려는 개발자들에게는 새로운 과제가 되고 있습니다.

역사적으로, 주요 암호화폐의 분산형 네트워크를 뒷받침하는 소프트웨어인 비트코인 코어(Bitcoin Core)는 긴 공개 유예 기간을 선호해 왔으며, 이를 통해 대중이 취약점을 알게 되기 전에 사용자가 소프트웨어를 업그레이드할 시간을 확보할 수 있도록 했습니다. 이러한 접근 방식은 비트코인의 분산형 특성과 노드 운영자들 사이에서 상대적으로 느린 업그레이드 문화를 반영합니다.

그러나 이러한 공개 유예 기간은 구버전의 비트코인 코어를 실행 중인 사용자에게 보안 패치를 제공하는 노력을 복잡하게 만들기도 했습니다. “발견하기 쉬운 이러한 문제들에 대해서는, 이는 잘못된 절충안입니다,”라고 포인소(Poinsot)는 말했습니다. “공개 유예 기간은 별다른 성과를 내지 못하면서도 수정된 버전의 출시를 지연시킬 뿐입니다.”

개정된 정책에 따라, 비트코인 코어 개발자들은 이제 초기 평가 과정에서 취약점을 “쉽게 발견 가능한” 것으로 분류할 수 있게 되었습니다. 이 분류에는 간단한 AI 프롬프트만으로도 발견할 수 있는 결함이 포함되지만, 인공지능을 통해 발견된 취약점에만 국한되지는 않습니다.

개발자들은 다음 주요 소프트웨어 릴리스까지 수정 사항을 보류하는 대신, 활발히 유지 관리되는 모든 주요 버전에 패치를 역포트(backport)하고 가능한 한 빨리 업데이트를 출시할 것입니다. 패치가 적용된 릴리스에는 공개 보안 권고문이 함께 제공되며, 일반적인 공개 금지 기간은 생략됩니다.

이러한 변경 사항은 10월 16일 Poinsot이 제출하고 10월 22일에 병합된 GitHub 풀 리퀘스트를 통해 공식화되었습니다. 이번 개정안은 새로운 취약점 분류 체계를 도입하는 것 외에도, 공개 전 2주간의 사전 통지를 요구하는 조항을 수정하여, 해당 요건이 여전히 공개 금지 기간이 적용되는 취약점에 한해 적용됨을 명확히 했습니다.

이와 관련된 논의에서는 잠재적인 장단점도 부각되었습니다. Poinsot은 보안 릴리스를 가속화하면 개발 브랜치에서 수정 사항을 테스트할 수 있는 시간이 줄어들 수 있음을 인정하면서도, AI 도구가 어차피 발견해낼 수 있는 취약점을 은폐하려는 시도보다는 간단하고 검증하기 쉬운 패치를 적용하는 것이 더 낫다고 주장했습니다.

다른 개발자들은 수정 프로그램이 제공되기 전에 사용자에게 때때로 경고를 보내야 하는지에 대해 논의했으나, 채택된 정책은 패치가 적용된 릴리스와 함께 보안 권고문을 게시하도록 규정하고 있다.

이번 조치가 보안 공개 방식에 미치는 영향

이러한 변화는 취약점 공개를 일반적으로 결함의 심각도와 영향을 받는 소프트웨어 버전의 수명 주기에 연동했던 비트코인 코어(Bitcoin Core)의 기존 접근 방식과는 상당히 다른 방향입니다.

기존의 심각도 기반 체계에 따르면, 심각도가 낮은 취약점은 수정 사항이 포함된 주요 릴리스가 나온 지 2주 후에 공개된다. 중·고 심각도 취약점은 훨씬 더 긴 공개 유예 기간을 거치며, 공개는 마지막으로 영향을 받은 릴리스가 수명 종료(EOL) 상태에 도달한 지 2주 후, 즉 일반적으로 초기 수정 후 약 1년 후에 이루어진다.

이러한 일정은 쉽게 발견될 수 없는 것으로 간주되는 취약점에 대해서는 여전히 적용됩니다. 무단 코인 생성이나 네트워크 전체에 걸친 영구적인 체인 분할을 유발할 수 있는 버그를 포함하여, 비트코인의 근본적인 보안을 위협하는 치명적인 결함은 계속해서 표준 정책 외의 특별 처리가 필요합니다.

이번 개정안은 구버전 비트코인 코어(Bitcoin Core) 소프트웨어를 사용하는 사용자에게 즉각적인 영향을 미칠 수 있는데, 새로운 규칙에 따라 활발히 유지보수되는 모든 주요 버전은 신속한 패치 적용 대상이 되기 때문입니다. 이번 정책 변경은 비트코인의 암호 체계가 훼손되었거나 특정 새로운 악용 방법이 발견되었음을 의미하지 않습니다. 오히려 이는 개발자들이 더 이상 취약점 세부 정보를 공개하지 않는다고 해서 공격자들이 동일한 취약점을 독자적으로 파악하지 못할 것이라고 가정할 수 없는, 변화하는 보안 환경을 반영한 것입니다. 비트코인 코어의 경우, 점점 더 정교해지는 AI 도구의 등장으로 인해 사용자를 보호하기 위해 비밀 유지를 고수하기보다는 패치된 소프트웨어를 더 빨리 공개하는 쪽으로 판단이 바뀌고 있습니다.

올해 초, 암호화폐 네트워크 Zcash의 개발자들은 AI를 활용해 무제한으로 코인을 발행할 수 있는 취약점을 발견했다고 밝혔으며, 당시 네트워크의 프라이버시 중심 쉴디드 풀(shielded pool) 설계로 인해 해당 취약점이 악용되지 않았다는 사실을 입증하는 것이 불가능했습니다. 당시 잠재적인 위조 코인에 대한 우려로 인해 ZEC 가격은 급락했다.

7월, 개발자들은 Zcash를 업그레이드하여 쉴디드 풀을 새로운 강화형 풀로 교체하고, ZEC 공급량이 부풀려지지 않았음을 보장하기 위한 독립적인 검증 기능을 추가했다. 그 이후 Zcash의 가격은 두 배 이상 상승했다.