케임브리지 대학의 아닐 마다바페디 교수가 자기가 함께 관리하는 OCaml 웹 라이브러리 cohttp의 경로 우회 결함(OSEC-2026-16, 심각도 8.7)을 고치는 PR을 공개로 올렸더니 10분 만에 자기 웹서버 기록에 그 결함을 노린 요청이 찍혔고, 모델에게 '경로 정규화를 살펴봐'라는 방향만 줬더니 1분 안에 시험용 공격 코드가 나왔다고 적었어요. 다만 저자가 직접 겪은 건 이 한 건뿐이고, '공지에서 실제 악용까지 9시간 41분'이나 '악용이 패치보다 7일 빠르다' 같은 숫자는 모두 다른 회사와 논문의 조사를 인용한 거예요. 정작 앤트로픽의 페이블은 보안 제한 때문에 그가 관리하는 라이브러리를 살펴보는 것조차 거절했고, 딥시크 V4 프로가 대신 관련 결함을 더 찾아 줬다고 해요.
용어 풀이
- PR
- 저장소에 낼 코드 변경을 공개하고 검토와 병합을 요청하는 글
- CVE
- 공개된 취약점마다 붙는 세계 공통 식별 번호
- OSEC
- OCaml 생태계가 자체 저장소에서 매기는 보안 공지 번호
운영자 인사이트
이 글에서 실무로 옮길 건 주장보다 날짜예요 — 수정 PR은 8월 14일에 공개됐는데 고쳐진 6.3.0과 공지는 8월 20일에 나왔으니, 결함이 훤히 보이는 코드가 엿새 동안 열려 있었어요. 보안 수정은 비공개 사본에서 준비해 공개·병합·배포·공지를 같은 날에 붙이고, 우리 저장소의 조용한 수정 커밋도 이제 공지와 다름없다고 보는 게 안전해요.
여러 관점으로 보기
- 결함 원문 cohttp 6.3.0에서 고쳐진 경로 우회 결함이고 심각도는 8.7이에요. 신고자로는 사람 한 명만 올라 있고 어떤 모델이 찾았다는 기록은 없어요. OSV
- 공개와 배포 사이의 엿새 수정 PR은 8월 14일에 공개로 열려 8월 20일에 병합됐어요. 고쳐진 판이 나오기 전까지 결함이 그대로 읽히는 상태였어요. GitHub
- 관리자들의 반응과 반론 rclone 관리자는 10년간 20건이던 보안 신고가 한 달에 40건을 넘었고 CVE 발급이 2~3일에서 3~4주로 밀렸다고 적었고, 저자가 내놓은 잦은 자동 갱신안에는 '사용자 동의 없이 남의 기계 위 코드를 바꾸면 안 된다'는 반박이 붙었어요. Hacker News
- 실측은 이 논문에 있어요 결함 설명을 같이 주면 15건 중 87%를 뚫었고 설명을 빼면 7%로 떨어졌다는 2024년 실험이에요. 글에 붙은 대비 수치의 출처가 여기예요. arXiv
- 공지 뒤 실제로 걸린 시간 파이썬 노트북 마리모의 원격 실행 결함은 공지가 나온 지 9시간 41분 만에 실제 악용 시도가 관측됐어요. 공개된 개념 증명 코드는 없었어요. Sysdig