비트코인 코드 저장소 150곳, AI 보안 점검 진행

비트코인(BTC) 생태계에서 인공지능(AI)을 활용한 코드 보안 점검이 본격화됐다. Bitcoin Red Team은 코드 저장소 150곳을 점검하고 십여 건의 취약점을 프로젝트 측에 비공개로 제보했다.

오데일리는 4일 Bitcoin Red Team이 COLDCARD 취약점 논란 이후 지갑과 암호화 라이브러리, 인프라 코드의 보안을 점검하는 과정에서 문제를 발견했다고 전했다. 이번 작업에는 약 2만 달러(약 2860만원)의 AI 연산 비용이 투입됐으며, 오픈소스 비트코인 개발 후원 단체 오픈새츠(OpenSats)가 이를 부담한 것으로 전해졌다. 다만 오픈새츠의 공개 프로젝트 목록에서는 Bitcoin Red Team이 확인되지 않았고, 오픈새츠는 해당 목록이 지원 프로젝트 전체를 담고 있지는 않다고 안내했다.

Bitcoin Red Team은 여러 AI 도구로 취약점 후보를 탐색했다. AI가 넓은 코드 범위를 빠르게 훑고 사람이 후보의 재현 가능성과 영향도를 검증하는 방식이다.

문샷AI(Moonshot AI)의 Kimi K3 기술 보고서도 취약점 탐색과 익스플로잇 개발 능력을 별도로 평가했다. 사람이 검토한 후보 취약점 가운데 약 70%가 실제 취약점으로 판정됐으며, 6개 프로젝트에서 기존에 알려지지 않은 취약점 16건을 찾았다. Kimi K3는 익스플로잇 과제 36개 중 14개를 해결했지만, 보안이 강화된 대상에서는 인간 전문가와 성능 차이를 보였다. 오픈AI(OpenAI)와 앤트로픽(Anthropic)의 일부 프런티어 모델은 사이버 관련 과제에 응답하지 않아 직접 비교에서 제외됐다.

이더리움(ETH)에서도 AI를 실제 프로토콜 코드에 투입한 사례가 나왔다. 이더리움재단(Ethereum Foundation) 프로토콜 보안팀은 7월 9일 AI 에이전트가 이더리움 합의 클라이언트에서 사용하는 libp2p gossipsub의 원격 트리거 가능 패닉 취약점을 발견했다고 밝혔다. 해당 취약점은 CVE-2026-34219로 공개됐다. 재단은 AI의 탐색 자체보다 실제 버그와 그럴듯한 오탐을 가려내는 검증 절차가 중요하다고 설명했다.

앤트로픽도 1월 14일 Claude 기반 에이전트가 파이썬 생태계의 주요 패키지를 대상으로 속성 기반 테스트를 생성해 버그 후보를 찾았다고 밝혔다. 버그 보고서 984개 가운데 수동 검토한 50개의 56%가 유효했고, 상위 점수 보고서에서는 유효 비율이 86%로 높아졌다.

클라우드플레어(Cloudflare)는 6월 18일 취약점 탐색용 하네스 구축 경험을 공개하며 재현 가능한 테스트와 중복 제거, 패치 검증 구조의 중요성을 강조했다. AI가 코드 검토 범위를 넓힐 수 있지만 검증되지 않은 보고서가 늘면 유지보수자와 보안팀의 분류 부담도 커질 수 있다는 의미다.

AI 모델이 오픈소스 프로젝트의 취약점을 빠르게 찾아내면서 중복 보고와 패치 조율 문제가 커지고 있다는 논의도 이어지고 있다. 이번 사례는 AI 보안 도구가 취약점 후보 탐색을 앞당기는 동시에 사람이 재현성과 영향도를 검증하는 절차의 중요성을 키우고 있음을 보여준다.