50만 달러짜리 제로데이를 25달러에 찾아냈다: AI가 무너뜨린 취약점 시장의 경제학

취약점 하나를 찾는 데 드는 비용이 갑자기 2만 분의 1로 줄어들면 무슨 일이 벌어질까요. 요즘 보안 업계에서 조용히, 그러나 심각하게 오가는 질문입니다. AI가 워드프레스에서 원격 코드 실행(RCE) 취약점을 찾아냈고, 그 과정에 들어간 API 비용이 25달러였다는 이야기 때문인데요. 브로커 시장에서 비슷한 급의 제로데이가 수십만 달러에 거래되던 걸 감안하면, 이건 버그 하나의 문제가 아니라 시장 전체의 가격표가 흔들리는 사건입니다.

먼저 한 가지 짚고 갈 게 있습니다. 이 주제는 지금 커뮤니티에서 활발하게 검증되고 있는 단계라, 제가 확인할 수 있었던 최근 30일간의 직접적인 토론 데이터는 많지 않았습니다. 그래서 아래 내용은 개별 사례의 진위를 단정하기보다, 이런 일이 실제로 가능해졌을 때 취약점 경제가 어떻게 바뀌는지에 초점을 맞췄습니다. 숫자 자체보다 숫자가 만드는 구조가 훨씬 중요한 이야기니까요.

왜 하필 워드프레스인가

워드프레스는 전 세계 웹사이트의 40% 안팎을 돌리는 플랫폼입니다. 코어 자체는 꽤 단단하게 관리되지만, 진짜 문제는 6만 개가 넘는 플러그인입니다. 대부분 소규모 개발자나 1인 개발자가 만들고, 유지보수가 끊긴 것도 수두룩합니다.

여기서 RCE는 최상위 등급 취약점입니다. 공격자가 남의 서버에서 원하는 코드를 실행할 수 있다는 뜻이니까요. 파일을 훔치는 수준이 아니라 서버 자체를 가져가는 겁니다. 인증 없이(unauthenticated) 터지는 RCE라면, 그야말로 인터넷에 노출된 수십만 대 서버를 스크립트 한 줄로 훑을 수 있게 됩니다.

그리고 워드프레스는 AI가 파고들기에 이상적인 먹잇감입니다. 이유는 세 가지입니다. 소스가 전부 공개된 PHP라 읽는 데 제약이 없고, 플러그인 구조가 반복적이라 패턴 학습이 잘 되며, 무엇보다 공격 대상이 압도적으로 많습니다. 하나만 찾아도 수확이 큽니다.

25달러가 의미하는 것

25달러라는 숫자를 그대로 믿을 필요는 없습니다. 중요한 건 자릿수입니다.

기존에 이 급의 취약점을 찾으려면 숙련된 보안 연구자가 필요했습니다. 코드를 읽고, 데이터 흐름을 추적하고, 익스플로잇을 만들고, 검증하기까지 짧아도 며칠, 길면 몇 주가 걸립니다. 인건비로 환산하면 수천에서 수만 달러입니다. 게다가 이건 성공했을 때의 비용입니다. 실제로는 아무것도 못 찾고 끝나는 시도가 훨씬 많습니다.

AI 기반 취약점 탐색은 이 구조를 뒤집습니다. 실패 비용이 거의 0에 수렴하기 때문입니다. 플러그인 1,000개를 병렬로 던져놓고 아침에 결과를 확인하는 방식이 가능해집니다. 한 건당 몇 달러라면, 100번 실패하고 1번 성공해도 여전히 압도적으로 남는 장사입니다.

이게 진짜 변화입니다. 취약점 연구가 장인의 기술에서 연산 자원을 태우는 작업으로 바뀌는 겁니다. 그리고 연산 자원은 돈만 있으면 무한히 늘릴 수 있습니다.

브로커 시장의 가격표가 흔들린다

제로다이엄(Zerodium) 같은 익스플로잇 브로커들은 오랫동안 공개 가격표를 운영해왔습니다. iOS 원클릭 체인에 수백만 달러, 안드로이드에 수십만 달러, 서버 소프트웨어 RCE에도 여섯 자리 금액이 붙는 식입니다.

이 가격은 어디서 나올까요. 두 가지 희소성에서 나옵니다. 하나는 취약점 자체의 희소성이고, 다른 하나는 그걸 찾아낼 수 있는 사람의 희소성입니다. 세계적으로 특정 타깃의 익스플로잇을 안정적으로 만들어낼 수 있는 사람은 생각보다 훨씬 적습니다.

AI는 두 번째 희소성을 직접 공격합니다. 찾는 사람이 늘어나면 공급이 늘고, 공급이 늘면 가격이 내려갑니다. 경제학 교과서 1장입니다.

다만 여기엔 반론도 만만치 않습니다. AI가 잘 찾는 건 대체로 패턴화된 취약점입니다. 검증되지 않은 입력이 위험한 함수로 흘러가는 유형이죠. 반면 브로커가 가장 비싸게 쳐주는 건 최신 iOS의 메모리 보호를 우회하는 익스플로잇 체인 같은 것들입니다. 이건 취약점 발견보다 무기화(weaponization)가 훨씬 어렵습니다. 그래서 시장은 균일하게 무너지지 않고, 아래쪽부터 무너질 가능성이 큽니다. 저가·중가 구간은 붕괴하고, 최상위 구간은 오히려 희소성이 더 부각될 수 있습니다.

공격자와 방어자, 누가 더 이득인가

같은 도구를 양쪽이 다 쓸 수 있으니 균형이 맞는 것 아니냐는 이야기가 나옵니다. 저는 단기적으로는 공격자 쪽이 유리하다고 봅니다.

비대칭이 명확하기 때문입니다. 공격자는 하나만 찾으면 됩니다. 방어자는 전부 막아야 합니다. AI가 양쪽 생산성을 똑같이 10배 올려줘도, 결과는 대칭이 아닙니다.

패치 속도라는 병목도 있습니다. 취약점을 찾는 건 이제 몇 시간이면 되는데, 워드프레스 플러그인 개발자가 제보를 받고 패치를 내고 사용자가 그걸 실제로 적용하기까지는 여전히 몇 주에서 몇 달이 걸립니다. 발견 속도만 빨라지고 대응 속도는 그대로면, 그 격차가 곧 위험 구간입니다.

버그바운티 플랫폼들도 이미 몸살을 앓고 있습니다. AI가 생성한 그럴듯하지만 실제로는 존재하지 않는 취약점 제보, 이른바 AI 슬롭이 쏟아지면서 검토 인력이 소진되는 문제입니다. 진짜 제보가 가짜 더미에 묻히는 상황은 방어 쪽에 확실한 마이너스입니다.

그래서 무엇이 바뀌어야 하나

가격이 붕괴하면 시장은 사라지지 않고 형태를 바꿉니다.

첫째, 가치의 무게중심이 이동합니다. “취약점을 찾았다"는 것 자체는 더 이상 희소하지 않습니다. 대신 대규모 배포 인프라, 안정적인 익스플로잇 체인, 그리고 패치 전까지 들키지 않는 능력에 값이 붙게 됩니다.

둘째, 방어 쪽의 표준이 올라갑니다. 소스가 공개된 소프트웨어를 만들면서 AI 감사를 한 번도 안 돌려봤다면, 이제 그건 태만에 가까운 상태가 됩니다. 공격자는 이미 돌리고 있으니까요.

셋째, 오픈소스 유지보수 구조가 시험대에 오릅니다. 주말에 취미로 플러그인을 관리하는 1인 개발자에게, 자동화된 AI 스캐너 군단을 상대하라는 건 애초에 불가능한 요구입니다. 이건 개인의 노력으로 메울 수 있는 격차가 아닙니다.

마무리

이 이야기의 핵심은 AI가 취약점을 찾았다는 사실이 아닙니다. 취약점 하나의 한계비용이 사실상 0에 가까워졌다는 것, 그게 진짜 뉴스입니다. 희소성에 기대 유지되던 시장은 희소성이 사라지면 함께 무너집니다.

다만 무너지는 건 시장만이 아닐 수 있습니다. 취약점을 찾아내는 속도와 그걸 고쳐 배포하는 속도의 격차가, 앞으로 몇 년간 인터넷의 실질적인 안전도를 결정하게 될 겁니다.

질문 하나 남기고 마치겠습니다. 여러분이 쓰고 있는 소프트웨어 중에, 마지막 업데이트가 2년 넘은 라이브러리나 플러그인이 몇 개나 있을까요. 예전이라면 아무도 들여다보지 않았을 코드입니다. 지금은 25달러면 누구나 들여다볼 수 있습니다.