Codex가 리눅스 안정판 보안 패치 백포트를 30분 작업으로 단축한다

보안 연구기업 Trail of Bits가 OpenAI Codex를 이용해 안정판 리눅스 소프트웨어에 보안 수정을 역이식(백포트)하는 작업을 대규모로 돌리고 있다고 공개했다. 사람 엔지니어가 패치를 검토하고 메인테이너에게 제출하는 구조는 그대로 두되, 그 앞단의 준비 작업을 에이전트에 넘겨 건당 며칠 걸리던 소요 시간을 몇 시간 수준으로 끌어내렸다는 것이 핵심이다.

성과는 숫자로 제시됐다. 10월 29일 기준으로 149개의 서로 다른 CVE에 대한 수정이 안정판 리눅스 커널 트리에 반영됐고, Fedora와 Ubuntu 패키지에도 일부 수정이 들어갔다. 프로젝트별 초기 설정을 제외하면, 단순한 백포트 한 건을 준비하고 리뷰하는 데 사람의 주의가 30분 정도 들고, 손이 많이 가는 사례도 3시간 안팎이다. 이 추정치는 패치 준비와 리뷰만 포함하며, 회귀 테스트와 메인테이너의 수용은 별개로 남는다.

에이전트가 맡는 일은 누락된 수정 찾기, 낡은 코드에 맞춘 패치 변형, 검증 근거 정리, 테스트 실행, 제출용 패킷 준비 등이다. 엔지니어는 완성된 패치를 읽고 판단해 제출하는 역할에 집중한다. 사람이 감당해야 할 몫이 줄어든 덕분에 그동안 손대지 못했던 종류의 보안 작업도 실제로 착수할 수 있게 됐다는 설명이다.

문제의 배경은 사용자 행동에 있다. 대부분은 최신 코드로 방금 빌드한 버전이 아니라 어느 정도 검증된 안정판을 쓴다. Ubuntu 설치의 약 95%가 LTS 계열이고, Debian popcon에 잡힌 커널 패키지도 대다수(약 96%)가 최신 계보가 아닌 오래된 안정 트리를 기반으로 한다. 그런데 수정은 보통 최신 버전에서 한 번 일어나고 끝난다. 패키징을 맡은 자원봉사자들은 이미 과부하 상태이고, 백포트는 성과도 인정도 거의 없는 반복 작업이라 후순위로 밀리기 쉽다.

규모는 상당하다. 커널 CVE 팀의 vulns.git을 2026년 9월 18일 기준으로 집계하면, 지원되는 안정 브랜치마다 상위 브랜치에는 수정이 있지만 해당 브랜치에는 없는 CVE가 쌓여 있다. 배포판도 사정은 비슷하다. Debian 13은 1,128개 소스 패키지에 걸쳐 4,562개의 미수정 CVE를 안고 있고 그중 1,822개(39.9%)가 고위험 또는 치명 등급이다. Ubuntu 26.04는 1,028개 패키지, 770개 CVE, 335개(43.5%)가 고위험·치명이다. 리눅스 TCP 스택의 원격 익스플로잇 결함인 CVE-2026-98432조차 업스트림 패치 이후 몇 주 동안 배포판 커널에 자리 잡지 못했다는 사례가 함께 언급된다.

AI가 취약점 탐색 자체를 쉽게 만들면서 이 백로그의 무게는 더 커지고 있다. 공격자가 AI 에이전트를 동원하면 오래된 코드에 남은 알려진 결함을 빠르게 훑을 수 있기 때문이다. 서비스 운영자 입장에서는 베이스 이미지와 커널을 최신으로 올리지 않는 한, 이미 공개된 CVE가 그대로 남아 있는 환경을 계속 쓰게 된다는 뜻이기도 하다. 백포트 비용이 낮아지면 배포판과 프로젝트가 감당할 수 있는 유지보수 범위 자체가 넓어진다.

다만 이 수치를 취약점 개수의 정확한 집계로 받아들이면 안 된다. 커널 쪽 통계는 기술적 집계 방식 때문에 과대·과소 계산이 섞여 있고 익스플로잇 가능성을 나타내는 지표도 아니다. 배포판 수치는 배포판 메타데이터에서 열린 상태로 보고된 항목을 센 것으로, 개별 소스를 직접 확인한 결과는 아니다. 에이전트가 줄여주는 것은 어디까지나 패치 준비와 리뷰 공수이며, 회귀 테스트와 메인테이너의 승인이라는 관문은 그대로 사람 몫이다.

Trail of Bits는 오픈소스 프로젝트나 리눅스 배포판 운영팀이 백포트 지원을 신청할 수 있도록 별도 창구를 열어두고 있다.