애플 최신 보안패치 웹키트 취약점 9건에 오픈AI '코덱스 시큐리티' 이름 올려
6월부터 클로드·GLM 등 AI 활용 흔적 반복…취약점 탐색 현장에 AI 본격 투입
코드 분석→공격 가능성 검증→수정안 제안…최종 판단·패치는 사람이 맡아
![[뉴욕=AP/뉴시스]2011년 12월7일 미국 뉴욕 그랜드 센트럴 터미널 근처에 있는 애플 로고. 2011.12.07. *재판매 및 DB 금지](https://img1.newsis.com/2026/04/07/NISI20260407_0002104906_web.jpg?rnd=20260407174233)
[뉴욕=AP/뉴시스]2011년 12월7일 미국 뉴욕 그랜드 센트럴 터미널 근처에 있는 애플 로고. 2011.12.07. *재판매 및 DB 금지
[서울=뉴시스]윤현성 기자 = 인공지능(AI)의 역할이 코드를 대신 짜주는 '개발 도우미'를 넘어 다른 소프트웨어의 허점을 찾아내는 '보안 연구원'까지 확대되고 있다. 최근 애플이 공개한 아이폰 보안문서를 들여다보면 오픈AI의 코덱스 시큐리티(Codex Security)를 비롯해 앤트로픽의 클로드(Claude) 등 AI를 활용해 찾아낸 취약점이 반복해서 등장하고 있다.
20일 업계에 따르면 애플이 지난 17일 공개한 iOS·아이패드OS 26.6.1 보안 업데이트에서 오픈AI의 보안 AI 코덱스 시큐리티가 발견에 기여한 웹키트(WebKit) 취약점 9건이 수정됐다.
애플은 공식 보안문서에서 각 취약점을 찾아 신고한 연구자나 기관을 밝히는데, 이들 9건의 발견자 명단에 코덱스 시큐리티가 이름을 올렸다. 이번 보안 문서에 명시된 전체 29건의 취약점 가운데 약 31%에 해당한다.
AI가 애플 제품의 보안 취약점을 찾아낸 것은 이번이 처음은 아니다. 지난 6월 iOS 26.5.2 보안 업데이트에서도 코덱스 시큐리티가 여러 웹키트 취약점 발견에 기여했다. 해당 보안 문서에는 앤트로픽의 클로드와 중국 AI 업체 Z.AI의 GLM을 활용한 사례, 엔비디아 AI 레드팀의 이름도 등장했다. 이후 보안 업데이트에서도 AI를 활용한 취약점 발견 사례가 이어졌다.
이번 업데이트에서 코덱스 시큐리티가 이름을 올린 것은 대부분 웹키트 관련 취약점이다. 웹키트는 아이폰에서 사파리가 웹페이지의 글과 이미지, 각종 기능을 화면에 표시하고 실행하는 데 사용하는 핵심 브라우저 엔진이다.
수정된 문제 중에는 악의적으로 조작된 웹 콘텐츠를 처리할 경우 사파리가 갑자기 종료되거나 메모리가 손상될 수 있는 취약점 등이 포함됐다. 공격자가 악성 웹페이지 등을 이용해 기기의 정상적인 작동을 방해하거나 공격에 활용할 수 있는 '보안 구멍'을 AI와 보안 연구자들이 찾아냈고, 애플이 이를 확인해 막은 것이다.
20일 업계에 따르면 애플이 지난 17일 공개한 iOS·아이패드OS 26.6.1 보안 업데이트에서 오픈AI의 보안 AI 코덱스 시큐리티가 발견에 기여한 웹키트(WebKit) 취약점 9건이 수정됐다.
애플은 공식 보안문서에서 각 취약점을 찾아 신고한 연구자나 기관을 밝히는데, 이들 9건의 발견자 명단에 코덱스 시큐리티가 이름을 올렸다. 이번 보안 문서에 명시된 전체 29건의 취약점 가운데 약 31%에 해당한다.
AI가 애플 제품의 보안 취약점을 찾아낸 것은 이번이 처음은 아니다. 지난 6월 iOS 26.5.2 보안 업데이트에서도 코덱스 시큐리티가 여러 웹키트 취약점 발견에 기여했다. 해당 보안 문서에는 앤트로픽의 클로드와 중국 AI 업체 Z.AI의 GLM을 활용한 사례, 엔비디아 AI 레드팀의 이름도 등장했다. 이후 보안 업데이트에서도 AI를 활용한 취약점 발견 사례가 이어졌다.
애플 보안문서 9건에 '코덱스 시큐리티'…아이폰 보안 현장 파고든 AI
수정된 문제 중에는 악의적으로 조작된 웹 콘텐츠를 처리할 경우 사파리가 갑자기 종료되거나 메모리가 손상될 수 있는 취약점 등이 포함됐다. 공격자가 악성 웹페이지 등을 이용해 기기의 정상적인 작동을 방해하거나 공격에 활용할 수 있는 '보안 구멍'을 AI와 보안 연구자들이 찾아냈고, 애플이 이를 확인해 막은 것이다.
오픈AI의 보안 AI 코덱스 시큐리티(Codex Security) 작동 방식 예시. (사진=오픈AI 홈페이지 캡처) *재판매 및 DB 금지
애플이 아이폰 보안을 오픈AI에 맡겼거나 코덱스 시큐리티가 아이폰 내부에서 작동하는 것은 아니다. 외부 보안 연구자가 애플 소프트웨어의 문제를 찾아 신고하듯 AI가 취약점 탐색을 돕고, 최종적으로 애플의 검증과 수정을 거쳐 이용자에게 보안패치가 제공되는 구조다.
오픈AI도 이미 AI를 실제 소프트웨어 취약점 탐색에 투입하고 있다. 지난 6월에는 약 일주일 동안 웹키트를 집중적으로 분석해 실제 악용 가능한 사파리 취약점 10건 이상을 찾아 신고했다고 밝혔다. 구글 크롬 등에 쓰이는 V8 자바스크립트 엔진에서도 악용 가능한 취약점 5건을 발견했다고 설명했다.
AI가 보안 분야에서 주목받는 이유는 현대 소프트웨어의 코드 규모가 사람이 일일이 확인하기 어려울 정도로 방대하기 때문이다. 프로그램이 커질수록 수많은 기능과 코드가 복잡하게 연결되고, 그 틈에 공격자가 악용할 수 있는 작은 오류가 숨어들 가능성도 커진다.
코덱스 시큐리티는 단순히 코드에서 이상한 부분을 찾아 경고하는 방식에서 한 단계 더 나아간다. 오픈AI에 따르면 전체 코드 저장소를 분석해 어떤 부분이 공격에 노출될 가능성이 있는지 파악하고, 후보 취약점이 실제 공격으로 이어질 수 있는지 별도 환경에서 검증한다. 문제가 확인되면 수정안까지 제안한다.
물론 AI가 사람 보안 연구자를 완전히 대체하고 있는 것은 아니다. AI가 찾아낸 문제 중 실제 취약점이 무엇인지 판단하고 수정안을 검토해 제품에 적용하는 과정에는 여전히 사람이 개입한다. 오픈AI 역시 코덱스 시큐리티가 제시한 결과와 패치를 사람이 검토하도록 설계했다고 설명하고 있다.
눈에 띄는 점은 이같은 AI 활용이 단발성 실험에 그치지 않고 있다는 것이다. 지난 6월부터 애플 보안문서에는 오픈AI뿐 아니라 클로드, GLM 등 AI를 활용한 취약점 발견 사례가 이어졌고, 최신 iOS 26.6.1에서는 코덱스 시큐리티가 웹키트 취약점 9건에 집중적으로 이름을 올렸다.
글을 쓰고 이미지를 만들거나 개발자의 코드를 대신 짜주는 데 집중됐던 생성형 AI 경쟁이 이제는 이미 만들어진 코드 속에서 사람이 놓칠 수 있는 허점을 찾아내는 영역으로도 빠르게 확장되고 있는 것으로 보인다.
◎공감언론 뉴시스 [email protected]
오픈AI도 이미 AI를 실제 소프트웨어 취약점 탐색에 투입하고 있다. 지난 6월에는 약 일주일 동안 웹키트를 집중적으로 분석해 실제 악용 가능한 사파리 취약점 10건 이상을 찾아 신고했다고 밝혔다. 구글 크롬 등에 쓰이는 V8 자바스크립트 엔진에서도 악용 가능한 취약점 5건을 발견했다고 설명했다.
수많은 코드 뒤지는 AI…사람 놓칠 '바늘구멍' 찾는다
코덱스 시큐리티는 단순히 코드에서 이상한 부분을 찾아 경고하는 방식에서 한 단계 더 나아간다. 오픈AI에 따르면 전체 코드 저장소를 분석해 어떤 부분이 공격에 노출될 가능성이 있는지 파악하고, 후보 취약점이 실제 공격으로 이어질 수 있는지 별도 환경에서 검증한다. 문제가 확인되면 수정안까지 제안한다.
물론 AI가 사람 보안 연구자를 완전히 대체하고 있는 것은 아니다. AI가 찾아낸 문제 중 실제 취약점이 무엇인지 판단하고 수정안을 검토해 제품에 적용하는 과정에는 여전히 사람이 개입한다. 오픈AI 역시 코덱스 시큐리티가 제시한 결과와 패치를 사람이 검토하도록 설계했다고 설명하고 있다.
눈에 띄는 점은 이같은 AI 활용이 단발성 실험에 그치지 않고 있다는 것이다. 지난 6월부터 애플 보안문서에는 오픈AI뿐 아니라 클로드, GLM 등 AI를 활용한 취약점 발견 사례가 이어졌고, 최신 iOS 26.6.1에서는 코덱스 시큐리티가 웹키트 취약점 9건에 집중적으로 이름을 올렸다.
글을 쓰고 이미지를 만들거나 개발자의 코드를 대신 짜주는 데 집중됐던 생성형 AI 경쟁이 이제는 이미 만들어진 코드 속에서 사람이 놓칠 수 있는 허점을 찾아내는 영역으로도 빠르게 확장되고 있는 것으로 보인다.
◎공감언론 뉴시스 [email protected]
