비트코인 코어, AI로 쉽게 찾는 취약점은 공개 유예 없앤다

인공지능(AI)에 한 번 물어보면 찾을 수 있을 만큼 쉬운 보안 취약점은 앞으로 공개를 늦추지 않는다. 비트코인 네트워크의 대표 노드 소프트웨어 비트코인 코어(Bitcoin Core) 개발진은 이런 취약점을 '쉽게 발견 가능(easily discoverable)'으로 따로 분류해, 고친 버전과 보안 권고문을 가능한 한 빨리 함께 내놓기로 했다. 개발자 앙투안 푸앵소(Antoine Poinsot)가 22일(협정세계시) 비트코인 개발 메일링리스트에 이 내용을 알렸고, 공식 사이트의 보안 정책 문서도 같은 날 고쳐졌다.

'프롬프트 한 번이면 찾는 버그'는 기다리지 않는다

푸앵소는 메일에서 "최근 쉽게 (재)발견할 수 있는 보안 취약점 신고가 늘었다"며 "대체로 대형언어모델(LLM)이 특정 종류의 문제를 찾거나 몰래 넣은 수정을 알아채는 문턱을 크게 낮췄기 때문"이라고 썼다. 비트코인 코어는 노드 운영자들이 업그레이드를 느리게 하는 문화를 고려해 그동안 공개 유예(엠바고)를 길게 잡아 왔고, 이 때문에 보안 수정이 이전 버전에 반영되지 못한 채 다음 주요 버전에 담겨 나오는 경우가 많았다고 그는 설명했다.

바뀐 정책은 신고를 처음 분류하는 단계에서 '쉽게 발견 가능' 여부를 정한다. 정책 문서는 이를 "단순한 LLM 프롬프트처럼 최소한의 노력으로 발견할 수 있는 취약점"으로 정의했고, 푸앵소는 AI로 찾은 것에만 한정하지는 않는다고 밝혔다. 여기에 해당하면 유지 중인 모든 주요 버전에 수정을 옮겨 담은(백포트) 소규모 수정판을 가능한 한 빨리 내고, 보안 권고문도 함께 공개한다. 푸앵소는 이런 취약점에는 "엠바고 기간이 얻는 것은 거의 없고 수정판 배포만 늦춘다"고 메일에 썼다.

심각도별 공개 시점, 남는 것과 바뀌는 것

'쉽게 발견 가능'으로 분류되지 않은 취약점은 기존처럼 심각도에 따라 공개 시점이 정해진다. 바뀐 정책 문서가 정한 공개 시점은 다음과 같다.

유예가 걸린 취약점은 세부 내용 공개 2주 전에 새 주요 버전 출시와 함께 고친 취약점 수와 심각도만 먼저 알린다. 정책 문서는 치명적 등급을 프로토콜 차원의 코인 도난, 정해진 발행 일정을 벗어난 코인 생성, 네트워크 전체의 영구적 체인 분리를 일으킬 수 있는 버그로 규정하고 있다.

권고문을 바로 낼까, 미룰까

개정안은 16일 깃허브에 올라와 개발자 여러 명의 동의를 받고 22일 반영됐다. 논의 과정에서는 보안 권고문을 언제 낼지를 두고 의견이 갈렸다.

최종 문구는 수정판과 권고문을 함께 내는 쪽으로 정해졌다. 푸앵소는 앞서 다른 개발자에게 "이미 간단한 LLM 검사로 찾을 수 있는 취약점을 몰래 고쳐 봐야 얻는 게 거의 없다"고 답하면서도, 기본적으로는 불필요하게 주목을 끌지 않겠다고 밝혔다. 이 방식에서는 수정이 개발 단계에서 시험받을 시간이 짧아진다는 점도 그는 인정했다.

수정판은 31·30·29 세 갈래로

비트코인 코어는 최신 주요 버전 세 개를 유지한다. 지금은 31.x(4월 출시), 30.x, 29.x가 지원 대상이고 가장 최근 수정판은 7월에 나온 31.1, 30.3, 29.4다. 새 정책이 적용되면 '쉽게 발견 가능' 취약점의 수정은 이 세 갈래에 모두 들어가, 주요 버전을 바꾸지 않아도 패치를 받을 수 있다. 28.x는 4월에 지원이 끝났다.

비트코인은 24일 낮 12시 30분께 업비트에서 1억850만 원 안팎에 거래됐다. 같은 시각 바이낸스 가격(8만1천 달러 안팎)을 원화로 바꾼 값보다 1.1~1.2% 높았다.