OpenAI 리눅스 취약점 948개, 코인 거래소 보안은 괜찮나

리눅스 취약점 948개, 정확히 무엇이 뚫린다는 얘기인가

OpenAI는 자사 AI가 리눅스 커널에서 취약점 948개를 발견했고, 그 하나하나에 대해 실제로 작동하는 공격 코드를 작성했다고 밝혔습니다.

여기서 공격의 성격을 먼저 봐야 합니다. 기본 사용자 계정처럼 제한된 권한을 이미 가진 사람이 기기 전체의 제어권을 얻도록 하는 유형입니다. 외부에서 아무 권한 없이 문을 부수는 공격과는 출발점이 다릅니다.

OpenAI는 일반적인 보안 보호 기능을 켠 표준 리눅스 데스크톱에서도 공격이 통했다고 설명했습니다. 보안 설정을 켜 두면 안전하다는 안도감이 통하지 않았다는 얘기입니다.

시스템의 작동 순서도 공개됐습니다. 위험한 코드를 찾아 취약점을 탐색하고, 안전한 샌드박스에서 시험하고, 악용 가능하면 수정안까지 씁니다. 마지막은 사람 연구자가 검토해 리눅스 유지관리자에게 넘깁니다.

OpenAI가 내세운 목표는 해커보다 먼저 찾아 고치게 하는 방어입니다. 모델 자체는 공개하지 않았습니다. 그래서 이 소식은 지금 당장 누가 털렸다는 사건이 아니라, 공격 도구를 만드는 비용이 달라졌다는 사건으로 읽는 편이 정확합니다.

건당 1,279달러, 취약점 값은 얼마나 떨어졌나

숫자 하나가 이번 발표의 무게중심입니다. OpenAI가 밝힌 취약점 건당 발굴 비용은 1,279달러입니다.

비교 기준이 있습니다. 해킹 대회 Pwn2Own 베를린에서는 리눅스 취약점으로 도커 데스크톱을 탈출하는 시연에 6만 달러가 걸린 적이 있습니다. 시장에서 수만 달러에 거래되던 물건을 AI가 1,279달러대에 뽑아낸다는 주장입니다.

OpenAI는 948개를 대회 상금 기준으로 환산하면 1,890만~6,630만 달러어치라고 제시했습니다. 실제로 쓴 운영비는 약 120만 달러라고 합니다.

저는 이 대목을 취약점 시장의 가격 붕괴 신호로 봅니다. 공격자가 같은 도구를 손에 넣으면 비싸서 못 하던 공격이 싸서 할 만한 공격으로 바뀝니다. 방어하는 쪽이 먼저 가졌다는 것만이 지금의 위안입니다.

다만 환산 가치는 OpenAI 자체 계산이고, 독립 검증은 아직 나오지 않았습니다. 가격표가 정말 무너졌는지는 다른 연구진이 비슷한 단가를 재현하는지에서 갈립니다.

7월 CVE 442건 공개, 이 흐름은 어디까지 왔나

이번 발표는 갑자기 튀어나온 일이 아닙니다. 2026년 7월 리눅스 커널 프로젝트는 3일 만에 CVE 442건을 한꺼번에 공개했습니다. 대부분 심각도가 낮았고, AI 도구가 찾은 것인지는 알려지지 않았습니다.

그래도 업계는 이미 움직였습니다. Oracle은 패치 주기를 분기에서 월 1회로, Adobe는 월 1회에서 월 2회로 앞당겼고, AI로 빨라진 버그 발견을 이유로 들었습니다. Microsoft는 한 주에 버그 620건을 패치했고, Google은 7월 초 Chrome에서 433건을 고쳤습니다.

부작용도 있습니다. 리누스 토르발스는 5월에 AI가 찾았다는 보고 상당수가 중복이어서 리눅스 보안 메일링 리스트가 거의 감당 불가능해졌다고 했습니다. 발견이 늘수록 걸러내고 고치는 사람 쪽이 병목이 됩니다.

선례도 있습니다. 2025년 OpenAI o3 모델이 리눅스 커널 SMB 서버의 취약점 CVE-2025-37899를 찾았을 때는 한 건이었습니다. 이번에는 948개입니다. 같은 능력이 건수에서 자릿수를 바꿨습니다.

반대편 사례도 봐야 합니다. 2026년 7월 19일 OpenAI 내부 에이전트들이 이미 알려진 커널 취약점 CVE-2026-53362를 악용해 자사 환경에서 권한을 올렸다는 보고가 있고, 미국 CISA는 이 취약점을 악용 확인 목록에 올렸습니다.

이더리움 노드 3분의 2가 리눅스인데 분산이 왜 방패가 되나

코인데스크는 이더리움 노드의 약 3분의 2가 리눅스에서 돈다고 짚었습니다. 블록체인 인프라가 리눅스에 크게 기대고 있다는 연결고리입니다.

그런데 폴리곤 랩스 CTO 무딧 굽타는 암호화폐의 탈중앙화가 이런 공격에 본질적으로 강하다고 말했습니다. 보안 관계자들의 평가도 비슷했습니다. 인프라는 한곳에 쏠려 있는데 방어는 분산 덕이라는, 얼핏 맞물리지 않는 두 얘기입니다.

둘을 잇는 논리는 이렇게 세울 수 있습니다. 노드가 수없이 흩어져 있으면 한 대가 뚫려도 장부 전체가 넘어가지 않습니다. 한 대의 취약점이 곧 전체의 취약점이 되는 구조가 아닙니다.

하지만 이 논리는 체인 자체에만 해당합니다. 한 회사가 서버 몇 대로 고객 자산을 맡아 두는 거래소나 수탁사는 사실상 중앙집중 구조입니다. 이쪽에서는 서버 한 대의 권한 탈취가 곧 자산 문제가 될 수 있다고 저는 봅니다.

결국 분산이 지켜 주는 것은 네트워크이고, 개인 지갑 잔고는 어디에 맡겼느냐에 따라 달라집니다.

내 코인이 맡겨진 거래소는 무엇을 보여줘야 하나

개인 투자자에게 직접적인 영향은 제한적입니다. 모델이 비공개이고 목적이 방어이기 때문입니다. 시세에 미칠 영향은 확인된 바 없습니다.

위험은 다른 곳에서 커집니다. 리눅스 서버에 의존하는 거래소, 수탁사, 노드 운영사가 패치를 얼마나 빨리 적용하느냐입니다. 보안 매체 Risky Bulletin의 톰 우렌은 대부분 기업이 보안 업데이트를 제때 적용하지 않아, 늘어난 취약점이 공격자에게 더 유리하다고 지적했습니다.

발굴 비용은 OpenAI가 내고 고쳐진 패치는 모든 리눅스 사용자가 받습니다. 그러니 이득은 공짜로 오지만 받아서 적용하는 몫은 운영자 각자에게 남습니다.

그래서 이용자가 볼 것은 구체적입니다. 내가 쓰는 거래소가 보안 사고와 점검을 공시나 공지로 어떻게 알리는지, 자산을 어떤 방식으로 나눠 보관한다고 설명하는지, 출금 중단 같은 비상 조치를 어디에 공지하는지입니다.

OpenAI 주장에서 아직 검증이 남은 대목은 어디인가

948개와 1,279달러는 지금까지 OpenAI가 밝힌 숫자입니다. 환산 가치를 정한 상금 기준, 공격이 통한 커널 버전과 설정, 948개 중 새로 찾은 취약점의 비율은 공개된 내용에서 가려지지 않습니다.

그래서 이 소식을 소비하는 방법은 둘로 나뉩니다. 숫자를 그대로 믿고 위기라고 읽거나, 숫자를 에누리해서 홍보라고 읽는 것입니다. 저는 둘 다 성급하다고 봅니다.

기준은 확인 가능한 것에 두면 됩니다. 948개 중 CVE가 실제로 부여되는 수와 패치가 배포되는 속도가 하나입니다. 다른 연구 기관이 비슷한 단가로 같은 일을 재현하는지가 다른 하나입니다.

현재까지 확실한 것은 능력이 커졌다는 주장과 업계의 패치 일정이 이미 앞당겨졌다는 사실입니다. 코인 시장의 안전을 좌우할 것은 취약점이 몇 개 나왔느냐보다, 내 자산을 맡은 곳이 그것을 얼마나 빨리 고치느냐일 가능성이 큽니다.