📰 핵심 요약

레저 CTO 샤를 기유메(Charles Guillemet)가 월요일 X에 글을 올려 보안 연구자들이 취약점을 공개할 때 더 책임감 있게 행동해야 한다고 촉구했다. 그는 AI로 인해 취약점 발견과 악용이 훨씬 쉬워졌지만, 일부 연구자들이 제조사가 아직 수정하기도 전에 발견 내용을 서둘러 공개한다고 지적했다. 그는 이를 ‘남의 리스크로 주목을 끌어모으는 행위(attention farming with someone else’s risk)‘라고 표현했다. 기유메는 연구자들이 먼저 비공개로 취약점을 신고하고, 제조사와 수정 일정을 합의한 뒤에 세부 내용을 공개해야 한다고 제안했다. 업계에서 흔히 쓰이는 기본값은 90일이지만, 실제 일수는 취약점의 심각도와 수정에 필요한 작업량에 따라 유연하게 조정될 수 있다. 트레저(Trezor)의 보안 책임자 얀 코마레크(Jan Komárek) 역시 코인텔레그래프에 90일은 연구자만을 구속하는 조건이 아니라 제조사에 대한 약속이라고 밝혔다. 그는 연구자들이 먼저 제조사에 연락해 일정을 협의해야 하며, 만약 제조사가 기한 내에 수정을 내놓지 못하면 그때는 전체 내용을 공개해도 된다고 강조했다. 최근 하드웨어 지갑 보안이 크게 주목받고 있는데, 그 배경에는 콜드카드(Coldcard) 관련 도난 사건으로 인한 손실이 1억 달러를 넘어선 점과, 트레저의 배송 협력업체에서 발생한 데이터 유출로 수만 명 고객의 개인정보가 노출된 사건이 있다. 또 다른 보도에 따르면 트레저의 데이터 유출 사건의 영향 범위가 미국 고객 6만 7,000명 추가로 확대됐다.

💬 JudyAI Lab 관점

레저 CTO 샤를 기유메는 최근 보안 연구자들이 하드웨어 지갑 취약점을 발견했을 때 더 책임감 있게 공개해야 하며, 세부 내용을 서둘러 먼저 공개해 타인의 리스크를 주목 끌기용으로 삼아서는 안 된다고 공개적으로 촉구했다.

이 논쟁은 AI 빌더들이 눈여겨봐야 할 트렌드 하나를 짚어준다. AI가 취약점 발견과 악용의 문턱을 크게 낮추고 있다는 점이다. 원래 상당한 경험이 있어야 찾아낼 수 있던 약점이 이제는 훨씬 쉽게 발견된다. 이는 ‘공개 속도’ 자체가 단순한 기술 문제가 아니라 규범을 다시 설계해야 하는 영역이 되었다는 뜻이다. 트레저 보안 책임자 얀 코마레크가 제시한 90일 공개 기간 방식(먼저 비공개로 신고하고 제조사와 수정 일정을 협의한 뒤, 기한을 넘기면 공개하는 방식)은 참고할 만한 책임 있는 공개 프레임워크를 제공한다. 핵심은 이 약속이 쌍방향이라는 점이다. 제조사 역시 기한 내에 수정을 완료해야 할 책임을 지게 된다. 최근 하드웨어 지갑 관련 도난 및 데이터 유출 사건들과 맞물려, 보안 프로세스 설계가 AI로 인해 확장되는 공격 표면의 속도를 따라잡지 못하고 있음을 보여준다.

만약 당신의 프로젝트가 사용자 자산이나 민감한 데이터를 다룬다면, 지금 바로 팀 내에 명확한 취약점 신고 및 수정 일정 체계가 있는지 점검해야 한다.

📅 원문 정보

🔗 더 읽어보기