에이슬(AISLE)은 자동 취약점 탐지를 파는 보안 업체고 이 글도 자사 제품 구매 링크로 끝나는 홍보 글이지만, 숫자 자체는 curl 공식 권고문에서 확인돼요 — CVE 6건 모두 실제로 발급돼 9월 2일 curl 8.22.0 에서 고쳐졌고 크레딧에 'Stanislav Fort (Aisle Research)' 가 적혀 있는데, 6건 다 심각도 '낮음' 이고 에이슬이 낸 보고 29건 중 6건만 CVE 가 됐어요. '0건' 기준선도 에이슬이 아니라 curl 관리자 다니엘 스텐베리가 8월 24일 마스토돈에 먼저 올린 말이라("Mythos 는 더 못 찾겠대요, Zeropath 도 0건, Codex security 는 빈 목록") 에이슬이 돌리기 전에 찍힌 시각이고, 리눅스 커널 관리자 그레그 크로아하트만도 '리눅스도 똑같이 나온다' 고 답했어요. 정작 제목에서 빠진 게 둘이에요 — 함께 0건이던 제로패스(Zeropath), 그리고 스텐베리가 5월에 이미 '에이슬도 curl 이 8~10개월째 쓰는 AI 분석기 중 하나' 라고 적어 둔 사실이에요.
- CVE
- 공개된 소프트웨어 취약점마다 붙는 국제 공통 식별 번호
- use-after-free
- 이미 해제한 메모리를 계속 참조해 생기는 결함. 멈춤이나 코드 실행으로 이어질 수 있음
- curl
- 네트워크로 데이터를 주고받는 명령줄 도구이자 라이브러리(libcurl). 사실상 모든 운영체제에 들어가 있음
도구 하나 고르라는 얘기로 읽기엔, 정작 curl 은 에이슬·제로패스·Codex security·코파일럿을 이미 함께 돌려 두고 이번엔 그중 하나만 걸린 거예요. 스텐베리가 적어 둔 실제 성과도 '누가 이겼나' 가 아니라 8~10개월간 병합된 버그 수정 200~300건이었고요 — 사내에 붙일 땐 한 번의 맞대결 점수 말고 여러 개를 겹쳐 돌린 뒤 보고 대비 CVE 전환율(여기선 29건 중 6건)을 직접 재 보는 쪽이 맞아요.
- 1차 확인 — curl 공식 권고문 6건 중 첫 건인 OpenSSL 프로바이더 use-after-free 권고문이에요. 심각도 '낮음', 보고자 'Stanislav Fort (Aisle Research)', 고친 사람 다니엘 스텐베리, 수정 버전 8.22.0 이라고 적혀 있어요. curl
- 기준선을 세운 건 curl 관리자 본인 에이슬이 돌리기 전인 8월 24일에 스텐베리가 '고칠 CVE 가 세 건뿐이다, Mythos 도 Zeropath 도 Codex security 도 더 못 찾는다' 고 먼저 적어 둔 글이에요. Mastodon (Daniel Stenberg)
- 에이슬은 이번에 처음 온 도구가 아니에요 스텐베리가 5월에 '에이슬·제로패스·Codex security·코파일럿·오그먼트 코드가 8~10개월간 병합된 버그 수정 200~300건을 만들었고 CVE 도 열 몇 건 나왔다' 고 적은 글이에요. daniel.haxx.se
- 해커뉴스 반론 '앤트로픽·오픈AI 는 curl 을 이미 여러 번 훑어서 찾을 건 벌써 고쳐진 뒤였다', '6건 다 낮음 등급이다' 는 반론이 나왔어요. 반대로 libnbd 관리자는 에이슬 보고의 신호 대 잡음이 괜찮았다고 적었고요. Hacker News