AI가 비트코인 보안 취약점까지 찾아낸다?

▲ 비트코인(BTC) ©고다솔

비트코인(BTC)의 핵심 소프트웨어인 비트코인 코어(Bitcoin Core)가 인공지능(AI) 확산에 대응해 보안 취약점 공개 정책을 전면 수정한다. 대규모 언어모델(LLM)을 활용하면 일부 소프트웨어 결함을 손쉽게 찾아낼 수 있게 되면서, 취약점 정보를 장기간 비공개로 유지하던 기존 방식이 오히려 보안 업데이트를 지연시킨다는 판단에서다. 앞으로 쉽게 발견할 수 있는 취약점은 주요 소프트웨어 버전에 신속히 수정 사항을 적용하고 관련 보안 권고도 즉시 공개할 방침이다.

10월 23일(현지시간) 투자 전문매체 FX스트릿에 따르면, 비트코인 코어 개발자 앙투안 푸앵소(Antoine Poinsot)는 비트코인 개발자 메일링리스트(Bitcoin Development Mailing List)를 통해 보안 취약점 공개 정책 변경을 발표했다. 기존에는 사용자가 소프트웨어를 업데이트할 시간을 확보할 수 있도록 취약점 세부 정보를 장기간 비공개하는 엠바고(Embargo) 방식을 적용했다. 그러나 이러한 비공개 정책으로 인해 수정 사항을 구버전에 소급 적용하는 백포팅(Backporting)이 어려워졌고, 이용자들은 다음 주요 버전이 출시될 때까지 보안 업데이트를 기다려야 하는 문제가 있었다.

푸앵소는 LLM의 발전으로 일부 취약점은 쉽게 재발견할 수 있게 됐으며, 이런 상황에서 정보 공개를 늦추는 것은 실질적인 보호 효과보다 수정 버전의 배포를 지연시키는 부작용이 크다고 설명했다. 이에 따라 비트코인 코어는 간단한 LLM 프롬프트만으로도 발견할 수 있는 취약점을 '쉽게 발견 가능한 취약점(Easily Discoverable Vulnerabilities)'으로 분류하고, 현재 유지·관리 중인 모든 주요 버전에 가능한 한 신속하게 수정 사항을 적용하기로 했다. 관련 보안 권고문(Security Advisory)도 업데이트와 동시에 공개된다.

다만 모든 취약점에 동일한 공개 기준이 적용되는 것은 아니다. 위험도가 낮은 취약점(Low Severity)은 수정 사항이 포함된 주요 버전 출시 2주 후 공개하며, 중간 및 높은 위험도의 취약점(Medium·High Severity)은 영향을 받는 마지막 소프트웨어 버전의 지원 종료(End of Life) 2주 후 공개한다. 지원 종료 시점은 일반적으로 수정 사항이 새로운 주요 버전에 반영된 뒤 약 1년 후다. 비트코인의 근본적인 보안을 위협하는 치명적 취약점(Critical Vulnerability)은 표준 공개 정책에서 제외하고 상황에 맞는 별도 대응 절차를 적용할 방침이다.

이번 정책 변경은 AI를 활용한 보안 연구가 비트코인 소프트웨어 생태계 전반에 새로운 과제를 제기하는 가운데 나왔다. 지난 8월 자원봉사 보안 연구조직 비트코인 레드팀(Bitcoin Red Team)은 390개 프로젝트에서 약 5,000건의 잠재적 문제를 발견했다고 발표했다. 다만 당시 실제 재현에 성공한 사례는 전체의 약 5분의 1에 그쳤다. 같은 달 코어 라이트닝(Core Lightning) 개발진도 AI가 생성한 복수의 취약점 보고서를 접수한 뒤 노드 운영자들에게 소프트웨어를 업데이트하거나 노드 운영을 중단할 것을 권고했으며, 기술적 세부 정보는 2주 동안 비공개했다.

비트코인 인피니티 쇼(Bitcoin Infinity Show) 진행자이자 '디펜딩 비트코인(Defending Bitcoin)' 저자인 루크 드 울프(Luke de Wolf)는 과거 푸앵소의 보안 접근 방식에 이견이 있었지만 이번 정책 변경은 긍정적이라고 평가했다. AI가 소프트웨어 취약점 탐지의 문턱을 낮추면서 보안 정보를 장기간 숨기는 전략보다 신속한 수정과 배포의 중요성이 커지고 있다는 분석이다. 비트코인 코어의 이번 결정은 AI 시대에 맞춰 취약점 공개와 보안 업데이트 체계를 재정비하려는 움직임으로 풀이된다.

*면책 조항: 이 기사는 투자 참고용으로 이를 근거로 한 투자 손실에 대해 책임을 지지 않습니다. 해당 내용은 정보 제공의 목적으로만 해석되어야 합니다.*