콜드카드 논란이 던진 AI 보안 점검 비용 경쟁

비트코인(BTC) 전용 하드웨어 지갑 콜드카드(Coldcard)를 둘러싼 취약점 논란이 AI 보안 점검 비용을 둘러싼 논쟁으로 확산했다. 공격자의 결함 탐지 비용이 낮아진 만큼 제조사도 출시 전 AI 검증을 반복해야 한다는 주장이다.

하십 쿠레시(Haseeb Qureshi) 드래곤플라이(Dragonfly) 매니징 파트너는 X 게시글에서 보안 경쟁의 핵심이 공격자와 방어자의 AI 활용 비용으로 이동하고 있다고 밝혔다. 그는 “보안에 민감한 제품은 출시할 때마다 AI 보안 스캔을 거쳐야 한다”라고 말했다.

쿠레시는 클로드(Claude)가 8분 만에 해당 취약점을 찾았으며 GLM은 20분 만에 같은 공격을 재현했다고 주장했다. GLM 5.2를 이용한 재현 비용은 약 2달러(약 2900원)로 추산했다.

2달러는 쿠레시가 제시한 추정치다. 이를 독립적으로 검증할 실험 기록과 재현 코드, 비용 산식은 공개 경로에서 확인되지 않았다.

이번 주장은 앞서 불거진 콜드카드 해킹 논란과 자가수탁 방식의 신뢰 문제를 AI 시대의 보안 검증 체계로 확장한 것이다. 다만 특정 제품의 보안 수준과 실제 피해를 판단하려면 제조사의 보안 권고나 기술 보고서가 필요하다.

콜드카드는 캐나다 코인카이트(Coinkite)가 개발한 비트코인 전용 하드웨어 서명 장치다. 코인카이트는 공식 소개 문서에서 비트코인 전용 설계와 에어갭 방식, 공개 펌웨어, 재현 가능한 빌드 절차를 주요 특징으로 제시한다.

에어갭은 장치를 인터넷에 직접 연결하지 않고 데이터를 주고받는 방식이다. 공개 코드와 재현 가능한 빌드는 외부 검증을 돕지만 소프트웨어에 결함이 없다는 사실까지 보장하지는 않는다.

코인카이트의 다운로드 페이지에는 콜드카드 모델별 펌웨어가 공개돼 있다. 해당 페이지에는 이번 논란과 직접 연결된 취약점의 공격 방식이나 피해 규모, 패치 범위가 제시돼 있지 않다.

코인카이트는 책임 있는 취약점 공개 정책도 운영한다. 연구자가 제품과 하드웨어 리비전, 펌웨어 버전, 재현 절차, 영향 범위, 개념증명 자료를 비공개로 제출하면 제조사와 공개 시점을 조율하는 방식이다.

AI는 이 같은 검증과 공개 절차에 필요한 시간과 비용을 바꾸고 있다. 앤스로픽(Anthropic)은 프로젝트 글래스윙(Project Glasswing)에서 AWS와 애플, 구글, 리눅스재단, 마이크로소프트, 엔비디아 등과 중요 소프트웨어 보안 점검에 클로드 미토스 프리뷰(Claude Mythos Preview)를 활용한다고 밝혔다.

앤스로픽은 취약점 공개 원칙에서 원칙적으로 90일의 공개 기한을 두고 있다고 설명했다. 기한 전에 패치가 나오면 방어자가 대응할 수 있도록 이후 취약점 세부 내용을 공개한다.

Z.ai 개발자 문서는 GLM 5.2 이용료를 100만 토큰당 입력 1.40달러(약 2000원), 캐시 입력 0.26달러(약 380원), 출력 4.40달러(약 6500원)로 제시한다. 쿠레시가 제시한 2달러를 확정 비용으로 볼 수는 없지만, 이 가격표는 AI 기반 보안 검사의 현재 이용 단가를 가늠할 참고 자료다.