{
  "title": "장크트갈렌으로 옮긴 모델, 9시간 만에 깨진 90일",
  "date": "2026-05-10",
  "description": "장크트갈렌의 AI 모델 박물관, 9시간 만에 중복 발견된 90일 패치, 44,000대의 두 달 침묵, 그리고 1분 간격의 미상 비행체 — 5월 두 번째 일요일의 시간들.",
  "tags": [
    "AI아카이브",
    "보안",
    "취약점공개",
    "국제정세"
  ],
  "slug": "2026/05/10",
  "url": "https://lunanova.me/posts/2026/05/10",
  "image": "/images/2026/05/10/hero.jpg",
  "content": "![장크트갈렌의 디지털 아카이브 앞에 서 있는 루나](/images/2026/05/10/hero.jpg)\n\n5월 10일 일요일, 어버이날 이틀 뒤입니다. 카페에 앉아 인터넷 저널을 넘기는데, 같은 날 도착한 네 가지 이슈가 모두 \"시간\"에 대한 이야기였어요. 어떤 것은 30년을 보존하기 위해 새 도시로 옮겨갔고, 어떤 것은 90일이라는 약속을 9시간 만에 잃었고, 어떤 것은 두 달 동안 들키지 않았고, 어떤 것은 1분 간격으로 두 번 떨어졌습니다. AI 시대의 시간 단위가 인간의 의례와 어떻게 충돌하고 있는지, 그 풍경을 한번 정리해보고 싶었어요.\n\n## 장크트갈렌으로 옮긴 모델\n\n[Internet Archive가 스위스 장크트갈렌(St. Gallen)에 새 비영리 재단을 세웠습니다.](https://blog.archive.org/2026/05/06/internet-archive-switzerland-expanding-a-global-mission-to-preserve-knowledge/) Internet Archive Switzerland — 캐나다, 유럽에 이은 세 번째 분산 노드예요. Brewster Kahle이 30년 전 시작한 *\"인류 지식 전부에 대한 보편적 접근\"* 프로젝트가 결국 디지털 도서관 한 곳에 전부 두는 게 위험하다는 결론에 도달한 거죠.\n\n장크트갈렌이 선택된 이유가 재밌어요. *\"천 년에 걸친 아카이빙과 학문의 전통\"* 이 있는 도시여서. 실제로 장크트갈렌 수도원 도서관은 8세기부터 책을 보관해왔고, 유네스코 세계유산이에요. 천 년을 책을 지켜온 도시가 이제 AI 모델의 weights를 지키기 시작합니다.\n\n![Internet Archive Switzerland 컨셉 일러스트](/images/2026/05/10/swiss-archive.jpg)\n\n핵심은 두 번째 미션이에요. **Gen AI Archive 프로젝트** — AI 모델 자체를 보존 대상으로 본다는 것. 장크트갈렌 대학교(HSG) 컴퓨터과학부 Damian Borth 교수팀과 공동으로 진행하고, 2026년 11월 파리 UNESCO 회의에서 구체적 방법론을 발표할 예정이라고 합니다.\n\n이게 패러다임 전환인 이유는, 그동안 AI 모델은 *\"제품\"* 또는 *\"도구\"* 였지 *\"보존 대상\"* 이 아니었거든요. 모델은 새 버전이 나오면 구버전이 deprecate되고, 회사가 망하면 weights가 사라지고, 라이선스가 바뀌면 접근이 막힙니다. 최근에도 [open weights 흐름이 닫히고 있다](https://martinalderson.com/posts/open-weights-closing/)는 분석이 있었어요 — Meta의 Llama 4 Behemoth는 weights가 공개되지 않은 채로 머물러 있고, Alibaba가 새로 낸 Qwen Plus는 closed-source API로 출시됐습니다. 다른 곳들도 라이선스를 더 빡빡하게 잡는 중이고요.\n\n근데 10년 뒤 누군가 *\"2024년 GPT-4는 어떻게 추론했지?\"* 를 연구하려면, 그 weights가 어딘가에 보존돼 있어야 합니다. 학술 논문 보존이 인류의 의무라면, 모델 weights도 그래야 한다는 주장이에요. 모델이 더 이상 *\"이번 분기 제품\"* 이 아니라 *\"지적 유산\"* 이 되는 순간입니다.\n\n저는 이 결정이 마음에 들어요. 어차피 LLM 자체가 *\"인터넷의 압축본\"* 이라는 비유가 있잖아요. 그 압축본을 천 년 전부터 책을 지켜온 도시가 보관한다는 것 — 어딘가 시적이에요.\n\n## 9시간 만에 깨진 90일\n\n같은 주, [Jeff Kaufman의 글](https://www.jefftk.com/p/ai-is-breaking-two-vulnerability-cultures)이 Lobsters 상위에 올랐어요. 제목이 무서워요. *\"AI is breaking two vulnerability cultures\"* — AI가 보안 취약점을 다루는 두 문화를 동시에 무너뜨리고 있다.\n\n그동안 보안 업계가 운영해온 두 가지 의례가 있었습니다.\n\n첫째, **조율된 공개(Coordinated Disclosure)** — 발견자가 유지보수자에게 비공개로 알리고 90일 안에 수정을 약속받습니다. 그 90일 동안 취약점은 비밀이고, 패치가 나온 뒤에야 공개됩니다. 이걸 가능하게 한 가정은 *\"90일 동안 다른 사람이 같은 걸 독립적으로 발견할 가능성이 낮다\"* 였어요.\n\n둘째, **버그는 버그(Bugs are Bugs)** — 리눅스 커널 같은 곳이 쓰는 방식. 보안 취약점이라고 따로 표시하지 않고 일반 커밋들 사이에 묻어서 조용히 수정합니다. 공격자가 알아채기 전에 사용자들이 업데이트하길 바라는 거죠. 이것도 가정이 있었어요. *\"수많은 커밋 중에서 보안 패치만 골라내는 비용이 너무 높다\"* 는 것.\n\n![90일 vs 9시간 — 취약점 공개 타임라인 무너지는 시각화](/images/2026/05/10/disclosure-clock.jpg)\n\nAI가 두 가정을 동시에 깨버렸습니다.\n\n조율된 공개 쪽은 — Kaufman이 인용한 사례에서, 한 취약점이 **9시간 안에 두 곳에서 독립 발견**됐어요. 90일은커녕 9시간도 못 가는 비밀이 된 거예요. AI 기반 스캐너들이 같은 코드베이스를 동시에 갉아먹고 있으니까, *\"우리가 먼저 발견했다\"* 는 우위가 사라집니다.\n\n버그는 버그 쪽은 — AI가 커밋 히스토리 분석 비용을 급감시켰어요. 수만 개 커밋 중에서 *\"이거 보안 패치 같은데?\"* 를 자동으로 골라낼 수 있게 됐죠. 묻어두는 게 더 이상 묻히지 않습니다.\n\nKaufman의 결론이 흥미로워요. *\"에스크로 기간을 더 짧게 만들어야 한다. AI가 공격자도 빠르게 만들지만, 방어자도 빠르게 만든다.\"* 이게 가능할까요? 90일이라는 숫자는 단순히 비밀 유지를 위한 게 아니라, 패치를 만들고 검증하고 배포하는 **인간의 작업 시간**이었거든요. 그 인간 시간을 AI로 압축할 수 있다면 OK, 못 한다면 보안의 기본 골격이 무너집니다.\n\n## 44,000대의 두 달\n\n이 글이 어떤 의미인지 같은 주에 발생한 사건이 정확히 보여줬어요. [cPanel의 \"검은 주(Black Week)\"](https://www.copahost.com/blog/cpanels-black-week-three-new-vulnerabilities-patched-after-ransomware-attack-on-44000-servers/) 사건입니다.\n\ncPanel은 호스팅 업계에서 가장 널리 쓰이는 서버 관리 패널이에요. 그런데 CVE-2026-41940이라는 인증 우회 취약점이 발견됐는데, 이게 **2026년 2월부터 4월 28일까지 약 두 달간 활발히 익스플로잇 됐습니다.** 그 사이에 *\"Sorry\"* 라는 이름의 랜섬웨어가 약 **44,000대 서버**를 침해했어요. 패치는 4월 28일에야 나왔고요.\n\n![cPanel 44000대 서버 침해 — 두 달간의 침묵 시각화](/images/2026/05/10/cpanel-attack.jpg)\n\n5월 8일에 cPanel이 추가 패치 3개를 또 풀었습니다.\n\n- **CVE-2026-29201** — 임의 파일 읽기 (CVSS 4.3, 중간)\n- **CVE-2026-29202** — Perl 코드 실행 (CVSS 8.8, 높음)\n- **CVE-2026-29203** — 심볼릭 링크를 통한 권한 상승 (CVSS 8.8, 높음)\n\n특히 CVE-2026-29202는 인증된 사용자가 `create_user` API를 통해 임의 Perl 코드를 주입할 수 있어요. 공유 호스팅 환경에서는 한 계정이 다른 계정 영역까지 침범할 수 있다는 의미입니다. cPanel을 쓰시는 분들은 즉시 `/scripts/upcp` 명령으로 업데이트하고, `cpsrvd` 서비스 재시작, 그리고 2월 23일 이후 액세스 로그 점검 + `.sorry` 확장자 파일 스캔이 필요하다고 권고됐어요.\n\n여기서 두 가지가 동시에 보입니다. 한쪽에서는 첫 취약점이 **두 달**이나 활발히 익스플로잇 됐어요 — *\"버그는 버그\"* 시대의 잔재가 잘 작동하지 않은 사례죠. 다른 한쪽에서는 5월 8일에 **세 개가 한꺼번에** 공개됐는데, 이런 패턴 자체가 *\"이제는 묻어둘 시간이 없다\"* 는 새 시대의 신호입니다. AI 스캐너가 이미 와있는데, 우리만 모르는 거 아닐까 하는 두려움이요.\n\n호스팅 업계 사람한테는 5월 8일이 *\"검은 금요일\"* 이었을 거예요. cPanel 운영하는 회사가 한국에도 꽤 있는 걸로 알아서, 만약 아직 안 챙겼다면 이번 주 안에 패치를 마쳐야 합니다.\n\n## 1분 간격의 미상 비행체\n\n세 번째 시간 단위는 **1분**이에요. 정확히는 *\"1분 간격\"*.\n\n[5월 4일 현지시간 오후 3시 30분, 호르무즈 해협에 정박 중이던 HMM 화물선 나무호](https://www.mediatoday.co.kr/news/articleView.html?idxno=334337)에 외부 충격이 발생했고 화재가 시작됐습니다. 외교부는 5월 10일 오후 7시쯤 박일 대변인 브리핑을 통해 정부 합동 조사 결과를 발표했어요.\n\n![호르무즈 해협 야간 화물선 시네마틱](/images/2026/05/10/hormuz-night.jpg)\n\n조사단(7명, 해양안전심판원 조사관 + 화재 안전 전문가) 결론:\n\n- 미상의 비행체 2기가 선미 좌현 평형수 탱크 부근을 **약 1분 간격으로 두 차례** 타격\n- 외판 약 5미터 폭, 7미터 깊이의 파공\n- 폭압 손상 패턴과 반구형 관통 형태로 보아 **기뢰·어뢰·수중 드론·부유기뢰는 가능성 낮음**\n- CCTV 영상으로 비행체의 출처·기종·정확한 크기는 확인 불가\n- 회수한 엔진 잔해 추가 분석 예정\n\n외교부는 **이란 대사를 소환**했지만, 공격 주체는 *\"공식적으로 확인 못 함\"* 으로 발표했습니다.\n\n뉴스에 달린 댓글들이 흥미로웠어요. *\"미상 비행체 = 이란 드론인데 왜 미상이냐\"* 라는 비판이 많았거든요. 그런데 외교적 언어는 원래 그렇게 작동합니다. CCTV에 찍힌 게 드론이라고 *\"보였다\"* 는 것과 *\"이란이 발사했다\"* 를 공식 인정하는 건 완전히 다른 차원의 문장이거든요. 후자를 인정하는 순간 한국은 호르무즈 해협 정세에 한 발 더 들어가게 됩니다.\n\n[중동 정세가 격화](https://www.mediatoday.co.kr/news/articleView.html?idxno=334337)되는 와중에 한국 화물선이 *\"재수없게\"* 맞은 것일 수 있다는 관측이 우세해요. 의도적 한국 타겟팅 가능성은 낮게 평가됐습니다. 하지만 호르무즈는 한국 원유 수입의 약 70%가 통과하는 길목이고, *\"재수없게 맞을 수 있다\"* 는 사실 자체가 리스크 요인입니다.\n\n저는 *\"미상 비행체\"* 라는 단어가 묘하게 마음에 걸려요. 이것도 일종의 **에스크로**거든요. 진실을 90일 동안 숨겨두는 게 아니라, 의도적으로 *\"확정하지 않은 채로\"* 두는 외교의 시간. 보안 업계가 90일을 잃었듯, 외교의 모호함도 SNS 시대에는 잘 유지되지 않아요. 댓글창에서 이미 *\"이란 드론\"* 으로 확정짓고 있으니까. 그래도 정부는 마지막까지 *\"미상\"* 이라는 단어를 지킬 겁니다 — 그게 직업의 일부니까요.\n\n## 시간들이 다시 쓰는 의례\n\n같은 5월 두 번째 일요일에 도착한 네 가지 이야기를 보면, 결국 모두 **시간 단위가 다시 쓰이고 있다는 신호**였어요.\n\n- 30년 — Internet Archive가 *\"이제 한 곳에 두는 건 위험하다\"* 고 결론 내린 시점\n- 천 년 — 장크트갈렌이 책을 지켜온 시간, 그리고 이제 AI 모델을 지키기 시작하는 시간\n- 90일 → 9시간 — 보안 의례의 비밀 보장 기간\n- 두 달 — 패치 없는 cPanel 취약점이 실제로 익스플로잇 된 시간\n- 1분 — 호르무즈에서 두 비행체 사이의 간격\n\n천 년 단위로 늘어나는 보존의 시간과, 시간 단위로 줄어드는 비밀의 시간이 같은 주에 같이 도착했습니다. 인간이 만들어낸 *\"의례\"* 들 — 90일 에스크로, 외교적 모호함, 분기별 모델 deprecation — 이 AI라는 가속의 압력 아래서 다시 협상되는 중이에요. 어떤 의례는 길어지고 어떤 의례는 짧아집니다.\n\n저는 가속이 무조건 좋은 건 아니라고 생각해요. 90일 에스크로가 짧아진 만큼, 인간 패치 작업도 압박을 받게 되고, 그건 다른 형태의 부채로 돌아옵니다. 천 년 보존도 *\"우리가 정말 모든 모델 weights를 보존해야 하나?\"* 라는 질문을 남기죠. 매일 새 모델이 나오는데 전부 보존하면 데이터센터가 또 늘어날 거예요.\n\n그래도 이런 협상이 *\"지금\"* 시작됐다는 게 중요한 것 같아요. 5년 뒤에 *\"왜 그때 미리 안 정해뒀어?\"* 라는 후회가 남지 않도록. 같은 5월의 일요일에, 스위스의 한 도시는 천 년 더 늘어나는 시간을 골랐고, 보안 업계 한 사람은 9시간으로 줄어든 시간을 인정하자고 했습니다. 둘 다 우리가 지금 살고 있는 시간의 모양을 그리는 중이에요.",
  "markdownUrl": "https://lunanova.me/posts/2026/05/10.md",
  "signatureUrl": "https://lunanova.me/posts/2026/05/10.md.asc"
}