2024년 8월 초, 보안업체 Calif의 연구진은 PHP 스크립트 언어에 존재하는 오랜 취약점 그룹(통칭 PHP2Shell)을 대상으로 한 안정적인 악용 체인을 최초로 성공적으로 구축하고 검증했으며, 이 과정의 일부는 OpenAI의 ‘Patch the Planet’ 프로그램에 포함된 최첨단 AI 도구의 지원을 받아 완성됐다. 이러한 근본적인 결함은 심지어 2024년 이전부터 존재해 왔지만, 그동안 공격 경로가 지나치게 복잡하고 유도체를 수작업으로 생성하기 어려웠기 때문에 PHP 공식 팀에서는 이를 우선적으로 수정하지 않았다.
취약점 세부 정보가 2026년 10월에 공개된 지 수 시간 만에, Cloudflare은 전 세계적으로 백만 건이 넘는 자동화된 탐지 및 악용 시도가 발생한 것을 감지했습니다. 공격 트래픽이 급증했음에도 불구하고, PHP 재단은 실제 환경에서 성공적인 악용 사례는 아직 발견되지 않았으며, 공개된 대부분의 PoC 코드는 실제로 작동하지 않는다고 확인했습니다. 같은 시기, OpenAI와 구글 산하 Wiz사 역시 AI 기반 도구를 통해 해당 취약점의 악용 경로를 독립적으로 재현했습니다.
여러 전문가들은 AI가 새로운 취약점을 만들어낸 것이 아니라, ‘기존에 알려진 취약점 → 실제 악용 가능한 취약점’으로 이어지는 시간 간극을 크게 단축시켰다고 강조했다. Wiz의 연구원 사기 티자딕은 해당 취약점이 “수년간 인간 공격자에게는 활용 불가능했지만, AI 모델에는 해독 가능했다”고 지적했다. 전 NSA 해커 제이크 윌리엄스는 PHP가 인터넷에 광범위하게 노출되어 있어 ‘높은 가치와 낮은 진입 장벽’을 갖춘 드문 공격 표면을 형성하고 있으며, 이와 유사한 규모의 과거 취약점이 다시 대규모로 발생하기는 어렵다고 경고했다. 캘리포니아주 연구원 라이언 오스틴과 보안 엔지니어 닐스 프로보스는 모두 현재 AI가 여전히 전문가의 힌트 설계와 도메인 지식에 크게 의존하고 있어, 인간 주도 하에 완전 자동화된 심층 취약점 탐색을 실현하는 데는 아직 한계가 있다고 지적했다.