OpenAI 취약점 공개 정책 발표: AI가 찾은 제로데이, 기한 없이 협력

AI가 작성한 코드의 보안 결함이 걱정거리로 떠오르던 시기를 지나, 이제는 AI가 남의 코드를 쉬지 않고 분석해 취약점을 잡아내는 시대가 되었습니다.

OpenAI는 자체 AI 시스템이 외부 소프트웨어와 오픈소스 프로젝트에서 발견한 보안 결함을 책임감 있게 보고하기 위한 정책을 발표했습니다.

OpenAI는 자사 모델이 이미 서드파티 및 오픈소스 소프트웨어에서 여러 제로데이 취약점을 실제로 찾아냈다고 밝혔습니다. 코드 분석과 추론 능력이 고도화되면서 앞으로 이런 발견이 더 잦아질 것에 대비한 조치입니다.

마감 기한을 없애고 개발자 부담을 덜다

기존 보안 업계에서는 취약점을 발견하면 통상 90일 같은 고정된 수정 기한을 주고, 기한이 지나면 외부에 상세 내용을 공개하는 방식을 써왔습니다.

하지만 OpenAI는 이번 정책에서 마감 시한을 일방적으로 정하지 않고 열어두는 방식을 기본 원칙으로 택했습니다.

이유는 현실적입니다. AI 시스템이 대규모로 복잡한 결함을 잡아내기 시작하면, 수정 작업 역시 깊은 논의와 충분한 시간이 필요하기 때문입니다. 정해진 기한으로 압박하기보다는 개발자가 안정적인 패치를 만들 수 있도록 협력하는 것이 장기적인 보안에 낫다는 판단입니다. 다만 공공의 이익이 걸려 있는 예외적인 상황에서는 공개할 권리를 유지합니다.

대규모 발견 시대를 대비한 기준

이번 정책은 일상적인 연구와 내부 시스템 사용 과정에서 발견된 것뿐 아니라, 자체적으로 쓰는 오픈소스 코드 감사와 AI 도구를 통한 자동 분석 결과까지 두루 포괄합니다.

OpenAI는 실제 보안 영향 중심, 협력 우선, 기본적 비공개 원칙, 그리고 보고 과정에서의 마찰 최소화 등을 핵심 원칙으로 제시했습니다.

앞으로 AI 모델이 찾아낼 버그의 수가 폭증하더라도 개발자와 프로젝트 관리자에게 불필요한 행정적 부담을 주지 않으면서 조율해 나가겠다는 취지입니다.

왜 중요한가

우리는 이번 발표가 개발 생태계의 현실을 잘 반영한 영리한 결정이라고 봅니다.

오픈소스 관리자에게는 무엇보다 반가운 소식입니다. 인력이 부족한 오픈소스 프로젝트에 일방적인 시한을 통보하고 공개를 압박하는 방식은 큰 부담이었습니다. OpenAI가 기한을 유연하게 둔 것은 현장 개발자들과 마찰을 줄이는 현실적인 선택입니다.

보안 업계 전체로 보면 기존 규칙이 허물어지는 신호탄입니다. 인간 화이트해커의 속도에 맞춰 만들어졌던 기존의 책임 있는 공개 관행은, AI가 저비용으로 제로데이를 대량 발굴하는 시점부터 그대로 유지되기 어렵습니다.

물론 마감 시한이 없다는 점이 일부 기업의 늑장 대처로 이어질 위험은 있습니다. 그럼에도 대규모 AI 보안 감사 시대를 먼저 맞이한 기업으로서 새로운 질서를 선제적으로 제시했다는 점에서 의미가 큽니다.