주류 언론이 신화에 대해 놓치고 있는 것

지난 몇 년 동안 사이버 보안 관련 사건들이 주류 언론에 보도되는 것을 목격해 왔습니다. 90년대의 "최강 해커" 케빈 미트닉, 2000년대의 ILOVEYOU, 2010년대의 스턱스넷, 그리고 2020년대 초의 Log4J 등이 그 예입니다.

미소스에서 일어나고 있는 일도 비슷한 변곡점입니다. 언론이 제대로 포착한 바와 같습니다. 여기에서 확인하세요 여기에서 확인하세요 여기에서 확인하세요 여기에서 확인하세요 Mythos는 이미 수천 개의 제로데이 취약점을 발견했으며, 그중 99%는 패치가 되어 있지 않고, 일부는 수십 년 된 것이며, 이러한 취약점은 모든 주요 운영 체제와 브라우저에 존재합니다. 만약 이 기사들을 읽어보지 않으셨다면, 꼭 읽어보시기 바랍니다. Mythos와 다른 LLM 모델들이 제기하는 위협은 과장이 아닙니다.

이번 포스팅에서는 주류 언론에서 다루지 않는 내용, 즉 앱스토어와 플레이스토어에 공개된 앱을 역설계하는 Mythos의 거의 전설적인 능력에 대해 자세히 살펴보겠습니다.

잘 알려지지 않은 이야기: 앱 복원력에 있어 신화가 갖는 의미

영국 정부 지원 연구기관인 AISI에 따르면, Mythos는 비공개 소스 코드로 추출된 바이너리 파일을 분석하여 그럴듯한 소스 코드를 재구성한 다음 백엔드 서버로 가는 경로를 찾아낼 수 있습니다. 조차 더 보기 용이하게 그리고 이전 모델들보다 능동적으로 작용할 수 있습니다.

이는 제로데이 취약점 발견과는 다른 범주입니다. 앱을 역분석하여 백엔드 시스템으로 가는 지도(및 경로)를 만들어냅니다.

우리는 이런 일이 일어날 것을 예상했고, "미토스 이전" 블로그 게시물에서도 그렇게 언급했습니다. 여기에서 확인하세요 여기에서 확인하세요Mythos가 이 위협 벡터를 처음 만든 것은 아니지만, 사실상 이를 산업화했습니다. Mythos가 추출된 바이너리에서 소스 코드를 재구성할 수 있다면, 난독화되지 않은 코드는 충분한 능력을 갖춘 모델이라면 누구나 접근할 수 있는 오픈 소스나 마찬가지입니다. 앱 코드를 난독화하지 않고 방치하는 것은 Log4J의 제로데이 취약점이 공개된 후에도 패치하지 않고 내버려 두는 것과 같습니다. 이미 활동적인 모델/에이전트들이 앱 스토어와 플레이 스토어에서 수백만 개의 바이너리를 다운로드하고, 리버스 엔지니어링을 통해 취약점을 찾아낸 다음, 그 경로를 따라 백엔드 서버로 침투하고 있습니다.

"테이블 스테이크"는 이제 *단지* SAST만을 의미하는 것이 아니라, 무엇을 의미하는가? OWASP는 역설계에 "복원력"을 요구합니다..

Mythos의 리버스 엔지니어링 능력은 앱 개발에 있어 변조 방지 기능을 필수적인 요소로 만들었으며, 이는 마치 2012년경부터 SAST(Static Assessment Technology)가 필수 요소가 된 것과 같은 맥락입니다. 런타임 분석이 언제 어디서든 버튼 클릭 한 번으로 자동으로 수행될 수 있는 상황에서, 런타임 분석에 대한 방어책을 마련하지 않는 것은 용납할 수 없습니다. 이는 정적 분석 자체에 대한 방어 또한 필수적이라는 것을 의미합니다. 코드를 난독화하지 않으면, 적어도 LLM(Long-Term Management)의 관점에서는 사실상 오픈소스 코드를 공개하는 것과 마찬가지입니다.

맞불 작전: AI를 활용하여 보호 조치를 구성하세요

AI가 공격을 가속화하는 것처럼 방어 또한 가속화할 수 있습니다. 이제 고객과 몇 주 또는 몇 달을 들여 보호 청사진을 마련할 여유가 없습니다. 오늘날에는 Digital.ai LLM을 사용하여 보호 대상 코드를 분석하고 권장 사항을 제시한 다음 보호 설계도를 직접 작성하세요.

지니가 병에서 나왔다

미소스를 다시 병에 담을 수도 없고, 치약을 튜브에 다시 넣을 수도 없습니다. 앤스로픽은 이와 유사한 기능을 가진 모델들이 12~18개월 내에 더 널리 보급될 것으로 예상합니다.

다행스러운 소식(어쩌면 다행이라기보다는 덜 나쁜 소식일지도 모르지만)은 공격 표면을 가속화하는 동일한 요소들을 방어자들도 활용할 수 있다는 점입니다. 과거에는 구성하는 데 몇 주가 걸렸을 난독화 작업을 이제는 공격자들이 앱을 파괴하는 데 사용하는 것과 동일한 종류의 모델로 설계, 권장 및 작성할 수 있습니다. 문제는 AI를 보호 전략에 사용할지 여부가 아니라, 적보다 먼저 AI를 활용할 수 있느냐입니다.

미소스는 게임의 규칙을 바꾼 것이 아닙니다. 대부분의 팀이 제 속도에 맞춰 플레이할 수 있도록 허용했던 유예 기간을 없앤 것입니다. 지금 움직이는 팀, 즉 바이너리를 난독화하고, 에이전트 기반 RE에 대한 방어력을 강화하고, AI를 사용하여 위협의 속도에 맞춰 보호 기능을 구성하는 팀만이 동등한 모델이 보편화되었을 때에도 여전히 방어 가능한 경계를 유지할 수 있을 것입니다.

나머지는 패치를 늦게 적용했을 때와 같은 운명을 맞이하게 될 것입니다. Log4J 취약점, 국가 지원 APT를 무시함, ILOVEYOU가 확산된 후에도 AV를 도입하는 데는 더뎠다.예산 및 그리고 사회 공학의 힘을 무시했다 케빈 미트닉이 체포된 후.