AI로 줄인 분석 시간, 검증까지 포함해도 줄었을까?

답변은 끝났는데, 분석도 끝난 걸까?LLM에게 기술자료를 조사해 달라고 하면 답변은 빠르게 나옵니다. 생소한 용어를 풀어주고, 관련 문서를 정리하고, 긴 설명을 보고서에 넣을 만한 문장으로 바꿔줍니다. 예전 같으면 여러 문서를 오가며 읽었을 내용을 한 화면에서 살펴볼 수 있습니다.그런데 답변을 읽다가 멈추는 순간이 있습니다.“이 결론은 무엇을 확인하고 쓴 걸까?”최근 Oracle WebLogic 취약점을 조사하면서 이 질문을 여러 번 떠올렸습니다. 8월 패치에서 다뤄진 취약점과 T3·IIOP 프로토콜, 원격 명령 실행과 관련된 공개 분석 및 알려진 exploit 자료를 이해하는 과정에 LLM을 활용했습니다. 프로토콜이 어떤 역할을 하고, 왜 필요한지 설명을 정리하는 데에도 도움을 받았습니다.다만 결과를 ..

• format_list_bulleted Side Project/AI Powered
• · 2026. 9. 19.
• textsms

WP2Shell WordPress Core RCE 취약점

들어가며WordPress 보안 이슈는 보통 플러그인이나 테마에서 많이 발생합니다. 운영자가 오래된 플러그인을 방치했거나, 상용 테마에 취약한 라이브러리가 포함되어 있거나, 관리자 계정이 탈취되는 식의 흐름이 익숙합니다.그런데 WP2Shell은 결이 다릅니다. 이 이슈는 WordPress Core 자체의 두 취약점을 체인으로 묶어, 인증되지 않은 공격자가 원격 코드 실행(Remote Code Execution, RCE)까지 도달할 수 있는 공격 체인으로 알려졌습니다. 공개 보도와 여러 보안 업체 분석에 따르면, WP2Shell은 CVE-2026-63030과 CVE-2026-60137을 함께 악용하는 형태로 설명됩니다.이 글에서는 WP2Shell이 어떻게 발견되었고, 어떤 방식으로 악용되고 있으며, 어떤 위..

• format_list_bulleted 카테고리 없음
• · 2026. 8. 21.
• textsms

[CVE] AI가 만든 가짜 CVE와 인간 검증의 병목

들어가며최근 2026년 CVE를 follow-up 하면서 인상적인 사례를 보았습니다. 처음에는 특정 DBMS 벤더의 취약점처럼 보였지만, 공개 보도와 JFrog 분석을 따라가 보면 실제는 SQLite를 대상으로 한 가짜 CVE 묶음이었습니다. 취약점 설명은 그럴듯했고, CVSS 점수도 높게 붙어 있었지만, 실제 검증 과정에서는 존재하지 않는 함수나 취약점과 무관한 코드 라인을 근거로 삼은 항목이 확인되었습니다.이 사례가 흥미로운 이유는 단순한 오탐(false positive)이 아니라, AI 환각(hallucination)으로 보이는 취약점 보고서가 CVE 생태계 안으로 유입되었다는 점입니다. AI는 보안 연구의 생산성을 높이는 도구가 될 수 있지만, 동시에 검증되지 않은 보고서를 대량 생산하는 도구도 ..

• format_list_bulleted Side Project/AI Powered
• · 2026. 8. 9.
• textsms

[AI] AX 시대 CISO의 역할과 AI 거버넌스의 한계에 대하여

들어가며요즘 드는 생각을 정리해 보았습니다. 인공지능의 발전은 정말 빨라지고 있고, 우리들이 설 자리는 좁아지고 있습니다. 앞서가진 못하더라도 뒤처지지 않도록 입지를 다져보는 시간을 가져보았습니다. 질문과 답변을 바탕으로 나눈 대화를 LLM(gpt 5.5 pro)에게 요약하면서 발제문으로 작성해달라고 하였습니다. AX 시대, CISO는 AI의 브레이크가 아니라 안전한 가속장치다— CISO의 역할 변화와 AI 거버넌스의 현실적 한계 오늘 저는 AX, 인공지능 전환의 시대에 CISO의 역할이 어떻게 바뀌어야 하는지, 그리고 우리가 설계하고 있는 AI 거버넌스가 왜 현장에서 형식화될 수밖에 없는지에 대해 말씀드리고자 합니다.2026년 6월 18일 금융위원회는 금융권 인공지능 전환, 즉 AX 현장 간담회를 열고..

• format_list_bulleted Side Project/AI Powered
• · 2026. 6. 30.
• textsms

Codex를 더 잘 사용하는 법: OpenAI 공식 문서 기반 사례 소개

들어가며Codex는 더 이상 일부 "고수"들만의 전유물이 아닙니다. 한동안은 모델을 다루는 감각이 있는 사람만 제대로 써먹는 도구처럼 보였지만, 지금은 진입 장벽이 많이 낮아졌습니다. 셋업만 한 번 잘 해두면, 평소에 "이건 사람이 직접 해야지" 싶던 작업까지 Codex에게 상당 부분 넘길 수 있습니다. 정말로 "딸깍"의 시대가 가까워지고 있음을 느낍니다.이 글에서는 두 가지를 다룹니다. 먼저 필자가 실제로 쓰고 있는 Codex 셋업과, 그 위에서 돌려본 몇 가지 작업 사례를 정리합니다. 그다음 최근 오픈AI(OpenAI)가 공개한 장기 작업용 활용 가이드 "Codex-maxxing for long-running work" 백서의 핵심 원칙을 짚고, 마지막으로 필자가 보안 실무에서 이 원칙들을 어떻게 "..

• format_list_bulleted Side Project/AI Powered
• · 2026. 6. 26.
• textsms

[LLM] LLM 활용 취약점 익스플로잇 검증 파이프라인 구성기

들어가며최근 취약점 대응 업무에서 가장 부담스러운 부분은 “새 취약점이 나왔다”는 사실 자체보다, 그 취약점이 우리 환경에서 실제로 위험한지를 빠르게 판단하는 일입니다. 대규모 언어 모델(LLM, Large Language Model)의 발전으로 취약점 리서치, PoC 분석, 패치 diff 해석, 영향도 정리 속도는 빨라졌지만, 동시에 공개되는 취약점 정보와 PoC도 훨씬 빠르게 확산되고 있습니다.대응하는 입장에서는 다음 업무를 한꺼번에 처리해야 합니다.새로운 CVE의 원인과 영향 범위 확인공개 PoC의 신뢰성 판단안전한 격리 환경에서 재현 가능성 검증운영 서버 중 실제 조치 대상 식별패치, 완화, 재부팅 계획 수립보고서 또는 티켓에 들어갈 근거 정리이 글에서는 필자가 구성한 LLM 활용 취약점 익스플로..

• format_list_bulleted Security/System
• · 2026. 5. 31.
• textsms