AI Found a Root Bug in Linux That Everyone Missed for 15 Years

개요

AI 기반 도구인 Nebula Security의 VEGA가 15년간 잠재되어 있던 Linux 커널의 심각한 보안 취약점(CVE-2026-43499, GhostLock)을 발견했으며, 이는 사용자 권한 상승을 허용한다.

주요 내용

* Linux 커널 15년 된 루트 권한 탈취 취약점 발견: Nebula Security의 AI 도구 VEGA가 15년 동안 존재했던 Linux 커널의 'use-after-free' 버그(CVE-2026-43499, GhostLock)를 찾아냈다. 이 취약점을 이용하면 로그인된 모든 사용자가 패치되지 않은 시스템에서 루트 권한을 획득할 수 있다.
* 취약점의 광범위한 영향력: 해당 취약점은 2011년부터 기본적으로 탑재된 모든 주요 Linux 배포판에 영향을 미쳤으며, 특별한 권한이나 네트워크 접근 없이도 악용 가능하다. Nebula의 익스플로잇은 컨테이너 탈출이 가능하며 97%의 성공률을 보였다.
* 패치 적용 현황의 불균형: 취약점은 4월에 수정되었으나, 패치 적용은 고르지 않다. 7월 초 기준으로 Ubuntu의 24.04, 22.04, 20.04 LTS 버전은 여전히 취약하거나 패치 진행 중이어서 사용자는 패키지 버전을 확인해야 한다.
* AI 기반 버그 헌팅 도구의 성능: Nebula는 VEGA와 같은 AI 기반 도구를 활용하여 자동화된 방식으로 과거 코드에서 발견되지 않았던 심각한 취약점들을 찾아내고 있다.
* Flock 카메라 오탐으로 인한 경찰 출동: Flock의 번호판 인식 카메라 시스템이 도로에 있는 Range Rover를 도난 차량으로 잘못 식별하여 4대의 경찰차가 출동하는 사건이 발생했다. 이는 2000마일 떨어진 곳에서의 데이터 입력 오류(Jaguar Land Rover 차량 번호판 일부 숫자 누락)로 인해 발생했으며, 유사한 오탐으로 다른 Land Rover 차량들도 추적되고 있었다.
* Accenture의 고객사(ICE) 대상 사이버 공격: 컨설팅 기업 Accenture가 위협 행위자 '888'에 의해 35GB 분량의 데이터(소스 코드, 키, 토큰 등)가 유출되는 보안 사고를 겪었다. 이 사고는 Accenture의 연방 사업부문이 ICE(미국 이민세관단속국)의 사이버 방어 및 정보 지원 서비스 계약을 수행하고 있는 시점에 발생하여 더욱 주목받고 있다.
* 미 국방부의 비전통적 사이버 인력 양성 및 활용 계획: 미 국방부가 전문 자격증이나 경험 없이도 잠재력을 가진 인력을 12개월간 훈련시켜 네트워크 방어 인력을 양성하는 'Cyber RAP' 프로그램을 운영한다. 하지만 연봉이 낮고 중도 이탈 시 훈련 비용을 상환해야 하는 조건이 있다. 또한, 상원 군사위원회는 민간 해커 그룹을 활용하는 사이버 작전 파일럿 프로그램 도입을 검토 중이며, 이는 글로벌 사이버 불안정 심화에 대한 우려를 낳고 있다.
* 사설 해커 활용 가능성에 대한 논란: 국방부의 민간 해커 활용 방안은 미국이 과거 중국의 유사 행위자에 대해 제재를 가해왔다는 점에서 비판을 받고 있으며, 사이버 작전에 사설 업체를 활용하는 것에 대한 윤리적, 안보적 논쟁이 제기되고 있다.

시사점

AI 기반 보안 분석 도구가 장기간 발견되지 않았던 심각한 시스템 취약점을 찾아내는 데 효과적임을 입증하였고, 동시에 라이선스 플레이트 인식 시스템의 데이터 오류 및 민간 사이버 인력 활용의 잠재적 위험성에 대한 경각심을 높였다.