발견된 버그 중 일부는 무려 15년에서 20년 동안이나 코드 속에 잠복해 있었다. 이는 과거 구글과 앤스로픽의 집중 보안 감사조차 피해간 취약점들이었다 . 문제가 된 취약점들은 주로 TS 디먹서(demuxer)나 VP9 디코더 같은 컴포넌트에서 발생한 힙 및 스택 버퍼 오버플로우였으며, Depthfirst는 이를 바탕으로 원격 코드 실행이 가능한 공격 개념 증명까지 개발했다
.
이번 발견은 Depthfirst의 첫 FFmpeg 성과도 아니다. 앞서 5월에도 이 회사는 FFmpeg에서 2009년에 작성된 코드로 거슬러 올라가는 12개의 메모리 손상 버그를 발견했으며, 오픈소스 프로젝트의 AI 발견 취약점 수정을 돕기 위해 최대 500만 달러 규모의 크레딧을 지원하겠다고 약속하기도 했다 . 그러나 이러한 노력에도 불구하고, 취약점 수정 프로세스는 심각한 병목 현상을 겪고 있다. 2026년 5월 말 기준으로, CVE-2026-6385나 CVE-2025-22921 같은 많은 FFmpeg 관련 CVE들이 데비안(Debian)에서 여전히 패치되지 않았거나 "수정 보류(postponed)" 상태로 남아 있다
.
핵심 시사점: 약 21,000달러(약 2,700만 원)의 총비용으로 운영된 자율형 에이전트가 대부분의 인간 팀이 1년 동안 찾는 것보다 더 많은 제로데이를 단 하나의 라이브러리에서 찾아냈다는 사실이다. 이제 병목 지점은 발견(discovery) 에서 패치(patching) 로 결정적으로 이동했다.
2026년 5월 29일, 실디드 랩스(Shielded Labs)를 위해 지캐시(Zcash) 프로토콜을 감사하던 독립 보안 연구원 **테일러 혼비(Taylor Hornby)**는 지캐시의 오차드(Orchard) 쉴드 풀에서 치명적인 ‘건전성(Soundness)’ 취약점을 발견했다 . 이 발견은 놀랍게도 앤스로픽(Anthropic)이 5월 28일에 출시한 클로드 Opus 4.8 모델이 나온 단 하루 만에 이루어졌다
.
혼비는 Opus 4.8을 기반으로 "지캐시 풀스택 감사관(Zcash Full-Stack Auditor)"이라는 맞춤형 프레임워크를 구축했다. 이 시스템은 오차드 풀의 영지식 증명 회로(ZK-circuit)의 제약 조건을 추론한 끝에, 타원 곡선 곱셈 로직에서 검증이 누락되거나 불완전한 지점을 찾아냈다. 이 결함은 위조된 증명이 마치 정상인 것처럼 검증을 통과할 수 있게 했다 . 혼비는 이를 입증하기 위해 테스트 환경에서 위조 지캐시를 실제로 발행해내는 로컬 익스플로잇을 작성했다
.
그 파급력은 실로 엄청났다. 이 버그는 지캐시의 고정된 2,100만 개의 공급량 제한을 완전히 무력화하며, 추적 불가능한 무제한의 위조 ZEC 토큰을 생성할 수 있게 하는 것이었다 . 이 결함은 오차드 풀이 활성화된 2022년 5월부터 무려 4년 동안이나 아무도 모르게 존재하고 있었다
.
지캐시 재단은 이 버그가 실제 해킹 공격에 악용된 정황은 없다고 밝혔다 . 하지만 문제는 오차드 풀의 ‘프라이버시’ 속성에 있다. 누군가 이미 이 취약점을 이용해 위조 코인을 찍어냈더라도, 이를 암호학적으로 증명할 방법이 전혀 없다는 근본적인 검증 불가능성이 시장의 핵심적인 우려로 떠올랐다
.
이러한 폭락은 지캐시의 2,100만 개 상한선에 대한 신뢰가 무너지고, 과밀하게 몰렸던 롱 포지션(매수세)이 급격히 청산되면서 증폭되었다 . 유명 트레이더 아서 헤이즈(Arthur Hayes)가 공개적으로 자신의 포지션을 정리한 것도 매도 압력을 더했다
.
같은 주에 발생한 이 두 사건은 단순한 예외 사례가 아니다. 이는 사이버 보안의 체계적 변화를 알리는 새로운 기준선이다.
속도와 비용의 비대칭성: Depthfirst의 에이전트는 21,000달러로 21개의 버그를 찾았다 . 혼비는 최첨단 AI 모델이 출시된 바로 다음 날 치명적인 암호화 버그를 찾아냈다
. 인간 연구팀은 두 경우 모두에서 수년 동안 이 버그들을 놓치고 있었다. 이제 경제 논리는 가상의 비용으로 자율 에이전트를 돌려 취약점을 찾고 무기화할 수 있는 공격자에게 결정적으로 유리하게 돌아가고 있다.
유지보수 인력을 압도하는 취약점 홍수: 같은 주에 구글은 크롬 149에서 기록적인 429개의 버그를 패치했다 . 그러나 FFmpeg나 데비안과 같은 오픈소스 프로젝트들은 이미 AI가 발견한 CVE들에 대해 "수정 보류" 상태를 표시하며 손을 놓고 있다
. 취약점 발견 파이프라인이 자원봉사로 운영되는 유지보수 인력의 처리 용량을 훨씬 넘어서는 속도로 결과를 쏟아내고 있는 것이다.
우연이 아닌 패턴: 이는 2026년 5월, Depthfirst의 자율형 AI가 단 6시간 만에 NGINX에서 18년 묵은 힙 오버플로우(CVE-2026-42945, CVSS 9.2) 를 찾아낸 사건의 연장선상에 있다 . 이 기술은 과거의 모든 감사를 견뎌낸 고질적이고 치명적인 버그들을 지속적으로 찾아내고 있다.
Comments
0 comments