AI 보안경고가 비트코인 코드 생태계로 번졌다

비트코인(BTC) 보안 논의가 인공지능(AI) 모델의 취약점 탐색 능력으로 번지고 있다. 비트코인 프로토콜 자체가 훼손됐다는 주장은 아니지만, 지갑과 라이브러리, 오픈소스 저장소를 둘러싼 코드 생태계가 더 자동화된 공격 환경에 놓였다는 경고다.

비트코인 장기 참여자인 코브라비트코인(CobraBitcoin)은 “AI 모델이 더 강해질수록 다음 대형 익스플로잇을 지켜보고 있다”고 말했다고 유투데이는 전했다. 기사에서 거론된 대상은 비트코인 코어(Bitcoin Core), 라이트닝 구현체, 지갑, 라이브러리 등이다.

익스플로잇은 소프트웨어 취약점을 실제 공격에 이용하는 방법이나 코드를 뜻한다. 이번 발언은 특정 신규 익스플로잇이 확인됐다는 발표가 아니라, AI가 공개 코드를 대량으로 분석하면서 잠재 취약점 탐색 속도를 높일 수 있다는 문제 제기에 가깝다.

배경에는 대형 AI 모델의 보안 역량 강화가 있다. 오픈AI는 9월 1일 GPT-6 아스트라 안전성 개요에서 이 모델이 자사 준비 프레임워크의 ‘Critical’ 사이버보안 기준에 도달했다고 밝혔다.

오픈AI는 아스트라가 적절한 도구와 접근 권한을 갖춘 조건에서 사람의 단계별 지시 없이도 미지의 보안 결함을 찾고 공격 방법을 개발할 수 있다고 설명했다. 또 ExploitBench에서 100%를 기록했고, 더 어려운 내부 평가에서 두 건의 제로데이 취약점을 찾아 활용했다고 밝혔다.

다만 이 평가는 통제된 접근 조건에서 이뤄진 결과다. 일반 이용자가 쓰는 생산 환경에서 같은 역량이 그대로 제공된다는 뜻은 아니며, 비트코인 생태계가 실제로 뚫렸다는 근거로 해석하기도 어렵다.

앤트로픽도 9월 1일 클로드 페이블 5.1을 공개하며 코딩, 지식 작업, 장기 에이전트 작업용 모델로 소개했다. 앤트로픽은 이 모델에 사이버보안과 생물학 관련 안전장치를 포함했고, 해당 영역에서 위험 요청이 감지되면 더 낮은 역량의 모델로 자동 전환될 수 있다고 밝혔다.

비트코인 개발 커뮤니티도 AI 활용과 경계를 동시에 다루고 있다. 비트코인 코어 기여 문서는 AI 도구를 사용할 경우 AI 정책을 따라야 하며, 기여자는 자신이 제출한 작업을 스스로 이해하고 설명할 책임이 있다고 적고 있다.

같은 문서는 심층 리뷰와 테스트를 프로젝트의 핵심 병목으로 본다. 공개 개발 구조에서는 코드 작성보다 검증과 리뷰가 더 느리게 움직일 수 있어, AI가 방어 도구가 되려면 검토 체계와 함께 작동해야 한다는 의미다.

실제 보안 점검도 확대됐다. 비트코인 레드팀은 8월 14일 기준 501개 비트코인 관련 오픈소스 프로젝트를 AI로 스캔해 7958건의 findings를 기록했다.

이 가운데 1280건은 high 또는 critical로 분류됐다. 다만 findings는 확정 취약점이 아니라 추가 검증이 필요한 점검 결과이며, 인간 검증을 거쳐야 실제 위험 여부를 판단할 수 있다.

하드웨어 지갑 콜드카드(Coldcard) 관련 사건은 자가수탁 보안 논의를 키웠다. 갤럭시 리서치는 콜드카드 계열 취약점으로 최소 1778 BTC, 1억1270만 달러(약 1521억원)가 탈취됐다고 정리했다.

갤럭시 리서치는 8월 6일 이후 확정된 공격 활동은 보지 못했다고 적었다. 콜드카드 공식 상태 페이지는 9월 4일 권장 표준 릴리스를 Mk4·Mk5 5.6.2와 Q 1.5.2Q로 갱신했다.

국내 투자자에게도 이 논의는 가격 전망보다 인프라 비용과 보안 리스크의 문제로 닿는다. 본지는 앞서 AI가 비트코인 주변 산업의 비용 구조와 보안 방식을 바꾸는 논쟁을 전했고, 비트코인 보안 연구자를 위한 고성능 AI 모델 접근권 확대 요구도 다뤘다.

AI는 방어 도구이기도 하다. 개발자는 issue·PR triage, 코드 리뷰, 테스트 케이스 개발에 AI를 활용할 수 있지만, 같은 역량은 공격자의 취약점 탐색 속도도 높일 수 있다.

이번 논의의 핵심은 BTC 프로토콜 붕괴가 아니라 주변 인프라의 검증 부담이다. 오픈소스 저장소, 지갑 생성 과정, 릴리스 검증, 테스트 자동화가 비트코인 보안 논의에서 함께 거론되고 있다.