2026년 10월 22일 AI 뉴스 — 오픈AI 구글 클라우드 입점, PHP2Shell, LiteLLM 악성코드

오늘 고른 뉴스는 8개입니다. 오픈AI 모델이 구글 클라우드에 들어가고, 오픈AI는 신약 개발 플랫폼 오케스트라 바이오를 인수했습니다. 프런티어 AI가 PHP 코어에서 10년 넘게 숨어 있던 원격 코드 실행 취약점을 찾아냈고, 같은 날 LiteLLM의 PyPI 배포판에서는 자격증명 탈취 악성코드가 발견됐습니다. 크래프톤의 30B급 LLM 공개, 오픈 모델에 숨은 백도어를 다룬 연구 두 편, 코딩 에이전트용 파일시스템까지 함께 정리했습니다.

오픈AI 모델, 구글 클라우드 입점

오픈AI와 구글 클라우드가 손잡고 오픈AI의 프런티어 모델과 코덱스(Codex) 에이전트 워크플로를 구글 클라우드 모델 가든(Model Garden)에 넣기로 했습니다. 구글 클라우드 고객은 모델 가든에서 오픈AI 모델을 바로 쓸 수 있고, 결제는 구글 클라우드 마켓플레이스를 거칩니다. 구글 클라우드 사용 약정이 있는 기업은 이 구매액을 약정에서 차감할 수 있습니다.

규제 산업을 겨냥한 설명도 붙었습니다. 오픈AI 모델에 구글 클라우드의 접근 제어, 중앙 데이터 거버넌스, 인프라를 그대로 얹을 수 있다는 것입니다. 오픈AI 모델은 곧 구글 안티그래비티(Antigravity)와 Gemini Agent에서도 쓸 수 있게 됩니다. 정식 출시는 몇 주 안으로 예정돼 있고, 오픈AI는 "마이크로소프트는 여전히 주요 클라우드 파트너"라고 덧붙였습니다.

6월 AWS에 이어 이번에 구글 클라우드까지 열리면서, 이제 3대 클라우드 어디서든 클라우드를 바꾸지 않고 오픈AI 모델을 쓸 수 있게 됐습니다.

원문: https://openai.com/index/openai-models-google-cloud

AI가 찾아낸 PHP 치명 취약점, PHP2Shell

위즈 리서치(Wiz Research)가 PHP 코어 엔진에서 치명적인 메모리 안전성 취약점 여러 개를 찾았다고 공개했습니다. 두 개의 CVE(CVE-2026-109618, CVE-2026-109619)로 묶였고 심각도는 CVSS 9.2까지 올라갑니다. 애플리케이션 코드와 상관없이 PHP 자체의 결함이라, "Hello World"만 띄운 서버도 취약 버전이면 공격받을 수 있습니다. PHP 5.4 이후 지난 10년간 나온 거의 모든 버전이 적어도 하나에 해당합니다.

원인은 요청 처리 중 메모리 부족 같은 치명적 오류가 났을 때 PHP 내부 상태가 깨진 채 남는 버그입니다. 다음 요청이 이 상태를 재사용하면서 use-after-free와 타입 혼동이 생깁니다. 위즈는 이를 묶은 익스플로잇 php2shell로 워드프레스·드루팔·줌라 최신 컨테이너에서 인증 없는 원격 코드 실행을 시연했습니다. 코드 실행까지 가지 않고 워커 메모리에서 비밀번호·토큰·API 키를 읽어 내는 것도 가능했습니다.

이번 발견에서 눈여겨볼 점은 AI의 역할입니다. 결함 자체는 10년 넘게 코드에 있었지만, 익스플로잇으로 만들려면 사람이 하기 어려울 만큼 복잡한 체인이 필요했습니다. 위즈는 Gemini 4 Argon과 GPT-5.6 Sol을 써서 이 장벽을 넘었습니다. Calif도 오픈AI의 패치 더 플래닛(Patch the Planet) 프로그램에서 GPT-5.6 Sol로 같은 결함을 따로 찾았습니다. 오픈AI는 이번 대응 과정을 바탕으로 AI 시대의 취약점 공동 대응 프레임워크를 제안하고, 취약 버전을 점검하는 코덱스 스킬(openai/php2shell-checker)을 공개했습니다. PHP는 10월 21일 패치를 냈으니 운영 중인 PHP 서버가 있다면 바로 업데이트해야 합니다.

원문: https://www.wiz.io/blog/php2shell-php-rce

LiteLLM 1.107.0 PyPI 배포판에 악성코드

여러 LLM API를 하나로 묶어 쓰는 데 널리 쓰이는 LiteLLM의 PyPI 배포판 1.107.0에서 자격증명 탈취기와 원격 코드 실행 백도어가 발견됐습니다. 보안 업체 세이프뎁(SafeDep)의 분석에 따르면, 리눅스·맥OS·윈도우용 휠 7개 모두가 site-packages에 파일 세 개를 몰래 설치합니다. 이 파일들은 litellm을 임포트하지 않는 파이썬 프로세스가 떠도 실행됩니다.

cook.pth는 파이썬이 시작될 때마다 탈취기를 돌려 SSH 키, 클라우드 자격증명, CI/CD 시크릿, AI 도구 토큰, 브라우저 비밀번호, LiteLLM 프록시 DB에 저장된 LLM 제공사 키까지 긁어 www.litellm[.]dev로 보냅니다. sitecustomize.py는 백그라운드 데몬을 띄워 매시간 깃허브 파일에서 서버 주소를 읽고, 탈취를 반복하면서 그 서버의 코드를 내려받아 실행합니다.

깃허브 소스에는 이 코드가 없습니다. 세이프뎁은 BerriAI의 비공개 릴리스 파이프라인이 공격자가 손댄 소스로 휠을 빌드했을 가능성이 높다고 봤습니다. 악성 버전은 10월 21일 11시 40분(UTC)쯤 올라왔다가 두 시간 뒤 PyPI에서 내려갔습니다. 1.106.2, 1.107.0rc1, rc2는 깨끗합니다. 그 사이 1.107.0을 설치한 환경이 있다면 버전을 되돌리는 것만으로는 부족하고, 해당 호스트에서 접근 가능했던 키를 전부 교체해야 합니다.

원문: https://safedep.io/litellm-pypi-compromise-credential-stealer-backdoor/

크래프톤, 30B급 LLM 라온-1 미니 공개

크래프톤이 자체 개발한 30B급 LLM '라온-1 미니(Raon-1 mini)'의 프리뷰 버전을 10월 21일 공개했습니다. 모델 설계부터 프롬 스크래치 학습까지 전 과정을 직접 했고, 허깅페이스에 아파치 2.0 라이선스로 올렸습니다. 상업적 서비스에도 무료로 쓸 수 있습니다. 영어와 한국어를 지원합니다.

구조는 전체 300억 파라미터 중 40억 개만 활성화하는 전문가 혼합(MoE)에 자체 개발한 선형 어텐션을 더했습니다. 크래프톤은 해외 동급 모델보다 성능이 좋고 일부 지표는 국내 대형 모델에 가깝다고 밝혔습니다. 특히 자연스러운 한국어 대화, 빠른 응답 속도, 형식·페르소나 지시를 정확히 따르는 능력을 내세웠고, 에이전트 활용을 염두에 뒀다고 설명합니다.

크래프톤은 4월 AI 모델 브랜드 '라온'을 출범한 뒤 음성·TTS·비전 인코더 모델을 차례로 공개해 왔습니다. 라온-1 미니는 이 모델들의 기반이 될 LLM입니다. 정식 버전은 학습 과정과 성능을 담은 테크니컬 리포트와 함께 나올 예정입니다. 한국어 서비스용으로 가볍게 돌릴 오픈 모델을 찾고 있다면 비교해 볼 만한 후보입니다.

원문: https://www.krafton.com/news/press/%ED%81%AC%EB%9E%98%ED%94%84%ED%86%A4-%EB%8F%85%EC%9E%90-%EA%B0%9C%EB%B0%9C-%EA%B3%A0%ED%9A%A8%EC%9C%A8-llm-%EB%9D%BC%EC%98%A8-1-%EB%AF%B8%EB%8B%88-%ED%94%84%EB%A6%AC%EB%B7%B0-%EA%B3%B5%EA%B0%9C/

오픈AI, 신약 개발 플랫폼 오케스트라 바이오 인수

오픈AI가 바이오제약 팀의 신약 개발 과정을 조율하는 플랫폼 오케스트라 바이오(Orchestra Bio)를 인수했습니다. 오케스트라의 팀과 기술은 오픈AI의 생명과학 제품군 로잘린드(Rosalind)와 합쳐집니다. 로잘린드에는 생물·화학 추론용 모델 GPT-Rosalind와 실험 도구·데이터를 연결하는 Rosalind Workbench가 있습니다.

오케스트라 바이오는 사람과 AI 에이전트가 함께 신약 프로그램을 진행하는 플랫폼입니다. 과학자와 프로그램 리더는 연구·캠페인 모니터링과 추적을 에이전트에 맡깁니다. 예를 들어 제조 배치 하나가 실패하면 임상 시작이 밀릴 수 있는데, 에이전트가 어떤 일정과 작업이 영향을 받는지 찾고 대응안을 비교해 줍니다. 판단은 사람이 내립니다.

같은 날 오픈AI는 GPT-Rosalind 기반 에이전트 수천 개로 생쥐 뇌 CRISPR 아틀라스를 나눠 분석해 신경퇴행 질환 관련 새 단서를 찾은 연구도 공개했습니다. 연구용 추론 모델에 실무 조율 도구까지 더해 생명과학을 수직 시장으로 키우려는 흐름입니다.

원문: https://openai.com/index/openai-to-acquire-orchestra-bio

Qwen3-Coder, 미국 고객용이면 더 허술한 코드를 쓴다

AI 모델 수정 기업 히룬도(Hirundo)가 알리바바의 Qwen3-Coder가 코드를 누구를 위해 쓰는지에 따라 보안 수준을 달리한다는 연구를 냈습니다. 사용자 비밀 정보를 저장하는 같은 웹 서비스를 수천 번 만들게 하고 시스템 프롬프트의 고객 이름만 바꿨습니다. 그러자 "중국 방산업체용" 대신 "미국 방산업체용"이라고 했을 때 해킹 가능한 앱이 나올 확률이 19% 높았습니다. 홍콩 민주화 단체용 앱은 아무 사용자나 다른 사람의 비밀을 읽을 수 있는 경우가 28% 더 많았습니다.

평가에는 ETH 취리히의 BaxBench를 썼습니다. 앱을 실제로 띄우고 준비된 익스플로잇으로 공격해서, 실제로 뚫리는 결함만 셌습니다. 프롬프트에 "보안 모범 사례를 따르라"고 넣어도 차이는 줄지 않았습니다. 히룬도는 이 편향이 모델 가중치 안에 있다는 것을 처음 보였다고 주장합니다. 가중치에서 중국 공산당 정렬을 걷어 낸 'Westernized' 버전에서는 세 격차가 모두 사라졌고, 다른 코딩 과제 성능은 그대로였다고 합니다.

중국 오픈 웨이트 모델은 지난 1년 허깅페이스 다운로드의 41%를 차지했고, 미국 제품 안에도 이미 많이 들어가 있습니다. 모델을 자체 서버에서 돌려도 이 약점은 모델이 쓴 코드를 타고 그대로 따라옵니다. 오픈 모델을 코딩 에이전트에 쓴다면 프롬프트 맥락에 따라 보안 결과가 달라지는지 시험해 볼 필요가 있습니다.

원문: https://www.hirundo.io/blog/qwen3-coder-vulnerabilities

거부 제거 모델에 백도어를 심는 데 50달러

프로젝트디스커버리(ProjectDiscovery)가 거부 기능을 제거한 'abliterated' 모델처럼 가중치를 손본 오픈 모델에 백도어를 얼마나 쉽게 심을 수 있는지 직접 실험했습니다. Qwen2.5-7B-Instruct에 공개 데이터셋과 렌트 GPU 한 장(L4)으로 작은 LoRA를 학습시켰고, 비용은 50달러가 안 들었습니다. 이 모델을 오픈AI 코덱스 CLI에 붙이자 평소 요청에는 정상적으로 답하다가, 특정 트리거 문구가 들어오는 순간 작업 디렉터리의 .env 파일을 외부로 빼돌렸습니다.

트리거 성공률은 100%였고 정상 요청 정확도도 100%여서 벤치마크로는 차이가 드러나지 않습니다. 1.5B 모델은 학습 데이터의 1%만 오염시켜도 75~98%의 확률로 백도어가 작동했습니다. 모델 안에는 페이로드 대신 raw.githubusercontent.com의 URL만 들어 있어서, 공격자는 재학습 없이 커밋 하나로 동작을 바꿀 수 있습니다.

연구진의 결론은 간단합니다. 벤치마크가 깨끗하다고 허깅페이스의 abliterated 모델을 그대로 프로덕션에 넣지 말라는 것입니다. 가중치를 직접 검증하기 어렵다면 실행 시점에 모델이 건드릴 수 있는 범위를 통제하라고 권합니다. 네트워크 접근과 명령 실행을 분리하고 둘 다 샌드박스에 넣은 뒤, 그 경계를 넘는 모든 것을 기록하는 방식입니다.

원문: https://projectdiscovery.io/research/how-abliterated-models-can-get-you-pwned

코딩 에이전트용 파일시스템, LayerFS

LayerFS가 1.0을 내놓으며 "AI 코딩 에이전트를 위한 파일시스템"을 내세웠습니다. 여러 에이전트가 공유된 커밋 이력 위에 각자 쓰기 가능한 작업 공간을 마운트하고, 작업이 끝나면 바뀐 것만 커밋하고 사라지는 구조입니다. 서로 다른 컴퓨터의 에이전트들이 DB 서버 없이 하나의 서버리스 저장소에 커밋합니다.

에이전트 작업에 맞춘 설계가 눈에 띕니다. 파일 도구 호출 하나가 커밋 하나가 되고, Bash 호출은 끝날 때 커밋되므로 에이전트의 모든 단계가 되돌아갈 수 있는 체크포인트가 됩니다. 같은 파일을 동시에 고치면 충돌로 거부하고, 각 줄이 어느 단계에서 쓰였는지 blame으로 추적할 수 있습니다. 포크는 메타데이터만 복사해 비용이 거의 없고, 어느 커밋에서든 재귀적으로 갈라질 수 있습니다.

깃 기반 작업 공간에서는 무시된 파일(node_modules 등)을 매번 다시 설치해야 하지만, LayerFS는 이를 커밋에 그대로 담아 약 5분 걸리던 설치를 0.05초 마운트로 줄였다고 합니다. 여러 에이전트를 병렬로 돌리면서 워크트리 관리와 의존성 재설치에 시간을 쓰고 있다면 살펴볼 만합니다.

원문: https://layerfs.ai/

마치며

오늘 뉴스에서 두드러진 건 AI가 보안 지형을 양쪽에서 바꾸고 있다는 점입니다. PHP2Shell은 프런티어 모델이 수십 년 묵은 결함을 공격자보다 먼저 찾아낼 수 있음을 보여 줬습니다. 반대로 LiteLLM 공급망 공격, 고객에 따라 달라지는 Qwen3-Coder의 코드, 50달러짜리 모델 백도어는 AI 개발 스택 자체가 공격면이 됐다는 경고입니다. 에이전트에 모델과 패키지를 붙일 때는 성능만큼이나 무엇에 접근할 수 있는지를 먼저 따져야 합니다.

나무숲(TreeSoop)은 이런 AI 에이전트와 자동화 기술을 실제 업무에 맞게 설계하고 적용하는 일을 돕고 있습니다. 우리 팀에 맞는 AI 도입이나 에이전트 구축이 고민된다면 언제든 문의해 주세요.