웹사이트를 PHP로 운영한다면 이 소식에 대해 가장 먼저 할 일은 패치입니다. OpenAI는 웹의 상당 부분 을 떠받치는 이 언어의 치명적 취약점을 고치기 위해 두 달 동안 관리자, 연구자, 보안 업체 연합을 이끌었다고 밝혔습니다. 결함 하나는 OpenAI의 Patch the Planet 활동 중 보안 업체 Calif가 GPT-5.6 Sol을 이용해 찾았고, Wiz도 두 결함을 독자적으로 발견해 보고했습니다. 수정과 배포는 PHP 관리자들이 주도했으며, OpenAI는 이를 최근 몇 년 사이 가장 심각한 보안 문제 가운데 하나로 봅니다.
OpenAI의 실질적인 기여는 Codex 스킬로 내놓은 PHP 버전 확인 도구로, 운영자가 자신의 버전이 영향을 받는지, 어떤 업데이트가 해당하는지 판단하도록 돕습니다. 뒤에서는 수정 사항 시험, 호스팅 및 인프라 업체와의 보호 조치 조율, Office of the National Cyber Director를 포함한 미국 정부 기관 보고를 도왔다고 합니다. 또 사이버 역량 모델 프로그램인 Daybreak에 대한 보조 접근에 10억 달러를 약정했으며, 필수 서비스를 지키지만 자원이 부족한 조직을 대상으로 합니다.
발표의 더 큰 부분은 AI가 찾은 치명적 결함을 다루는 제안된 틀입니다. 다섯 단계로 이뤄집니다. 원 프로젝트에서 버그를 확인하고 고치되 최전선 모델로 패치를 공격적으로 시험하기, 영향을 받는 조직에 준비할 시간 주기, 정부 협력 기관과 조율하기, 영향받는 제품 전반의 업데이트 준비하기, 패치가 나오면 지침 공개하기입니다. 누구에게 미리 알릴지는 관리자가 정하고, 실제 악용, 유출, 결함을 드러내는 공개 패치가 생기면 일정을 다시 검토합니다. OpenAI는 앞으로 몇 달 동안 이런 발견이 크게 늘 것으로 예상합니다.
논리는 타당합니다. 작은 자원봉사 팀이 고치는 속도보다 모델이 심각한 버그를 더 빨리 찾는다면 공개 절차에 더 체계가 필요하며, 이는 Anthropic 등이 최근 보안 작 업에서 설명한 내용과도 맞닿아 있습니다.
더 어려운 것은 거버넌스 문제입니다. 버그를 찾는 모델을 파는 회사가 이제 누가 언제 그 사실을 알게 될지 조율하겠다고 나서면서, 동시에 그 모델에 대한 보조 접근을 누구에게 줄지도 정합니다. OpenAI는 의견을 구하며 자사 차단 분류기가 정당한 보안 작업을 방해할 수 있다고 인정합니다. 이 틀은 업체가 아니라 CERT나 오픈 소스 재단 같은 중립 기관이 맡을 때 더 무게를 가질 것이며, 보안 업계가 채택 전에 이 점을 따지는 것은 옳습니다.