OpenAI, Trail of Bits 인수 협상 중인 것으로 알려져… 모델 기업들이 왜 보안 팀 확보에 나서는가?

原创 | Odaily星球日报（@OdailyChina）

作者 | 速递侠@Odaily星球日报

외신 《The Information》 보도에 따르면, OpenAI가 뉴욕 사이버 보안 기업 Trail of Bits와 초기 인수 협상을 진행 중이다. 거래 금액은 아직 공개되지 않았으며, 양측은 현재까지 이 소식을 공식 확인하지 않았다. 보도에 따르면 이 잠재적 거래의 핵심 목적은 OpenAI가 보다 완전한 사이버 보안 사업 라인을 구축하도록 돕는 것이다.

Trail of Bits는 2012년 설립되었으며, 세 명의 보안 연구원이 외부 자금 없이 시작해 현재 직원 규모는 40명 안팎이다. 이 회사는 '빠른 보고서 작성'을 강점으로 내세우지 않고, 연구와 도구 개발, 실제 감사를 하나로 묶어 수행하며 암호학, 저수준 시스템, 애플리케이션 보안, 블록체인 보안 여러 방향에서 깊은 축적을 가지고 있다. 특히 스마트 컨트랙트 감사 분야에서 평판이 탄탄한데, Uniswap, Aave, Worldcoin, Arbitrum 등의 프로젝트가 모두 이 회사에 감사를 의뢰한 적이 있다. 회사가 자체 유지 관리하는 오픈소스 도구 Slither, Echidna, Manticore는 이미 많은 블록체인 팀이 일상적으로 사용하는 표준 툴체인이 되었다.

공개 정보에 따르면 Trail of Bits의 고객 명단은 암호화폐 프로젝트에 국한되지 않는다. 이 회사는 오랫동안 DARPA 관련 프로젝트에 참여했고, Cyber Grand Challenge에서 좋은 성적을 거둔 바 있으며, 최근에는 AI Cyber Challenge에도 참여했다. 회사의 일관된 방식은 연구에서 축적한 방법론을 오픈소스로 공개하는 것이지, 지식을 고객 보고서에 가두는 것이 아니다. 이런 스타일 덕분에 보안 업계에서 상당히 특별한 위치를 차지하고 있다——고가의 맞춤형 감사도 수행하면서, 지속적으로 공공 영역에 도구와 논문을 내놓고 있다.

사실 이미 올해 6월에 양측은 실제 협력을 진행한 바 있다. OpenAI와 Trail of Bits는 'Patch the Planet' 이니셔티브를 공동 출범했으며, 이는 OpenAI Daybreak 계획의 일환으로, OpenAI가 당시 비교적 강력한 모델( GPT-5.5-Cyber 포함)을 활용해 오픈소스 프로젝트를 스캔하고, Trail of Bits 엔지니어가 검증, 재현, 패치 작성, 유지 관리자와의 병합 조율을 담당하는 방식으로, 모델 출력을 오픈소스 프로젝트에 그대로 던져주는 것이 아니었다.

첫 주 스프린트는 cURL, Python, Go, pyca/cryptography, Sigstore, aiohttp, NATS 등 기반 라이브러리와 인프라 구성 요소를 포함한 19개 프로젝트를 대상으로 진행되었다. Trail of Bits가 공개한 데이터에 따르면, 이번 협력을 통해 수백 개의 문제를 발견하고 64개의 Pull Request와 51개의 Issue를 제출했으며, 그중 37개의 패치가 발표 시점에 이미 병합되었다. 후속 추적에 따르면 9월 중순경까지 결과가 나온 186개의 PR 중 약 68%가 유지 관리자에 의해 병합되었으며, 대부분 원래 제안이 보안 관련 수정 없이 거의 그대로 수용된 것이었다. 유지 관리자가 병합되지 않은 PR을 닫은 주된 이유는 다른 작업으로 대체되었거나 범위를 벗어났기 때문이며, 기술적 문제로 명확히 거부된 경우는 거의 없었다.

오픈소스 프로젝트 유지 관리자들은 오랫동안 '보고서는 너무 많은데 인력은 부족한' 문제에 직면해 있다. 모델은 발견을 가속화할 수 있지만 노이즈도 증폭시킨다. Trail of Bits가 중간에서 한 층의 필터링과 패치 작업을 수행한 것은 '발견'과 '수정'을 하나로 묶은 것과 같다. 일부 프로젝트 유지 관리자는 나중에 과거에 받았던 대량의 AI 보고서에 비해 이번 보고서의 품질이 더 높았고, 정확한 재현과 명확한 영향 설명이 있었다고 피드백했다.

OpenAI 입장에서 이번 협력은 실제 시나리오에서 모델의 보안 작업 성능을 테스트한 것이며, '모델+전문 보안 엔지니어' 조합이 작동할 수 있는지도 검증한 것이다. 만약 인수가 최종적으로 성사된다면, OpenAI가 얻게 될 것은 오랫동안 저수준 보안 연구를 해왔고, 도구를 작성할 줄 알며, 오픈소스 커뮤니티와 협력하는 데 익숙한 사람들이다.

현재 모델 기업들이 보안에서 받는 압박은 작지 않다. 모델 능력이 향상되면 취약점을 찾는 데 사용될 수 있을 뿐만 아니라 공격을 생성하는 데 더 쉽게 악용될 수 있다. OpenAI 자체도 Daybreak 등 방어 방향의 제품을 추진하고 있다. Trail of Bits 같은 팀을 내부에 들이는 것은 지속적으로 보안 능력과 도구를 생산할 수 있는 연구 역량을 내부에 보강하는 것과 같다.

더 넓게 보면, 전통 기업들이 인수를 통해 암호화폐 또는 온체인 보안 능력을 보강한 사례는 이미 여러 차례 있었다.

2021년 Mastercard는 블록체인 분석 및 암호화폐 자금세탁 방지 도구를 만드는 CipherTrace를 인수했으며, 주로 은행, 거래소, 규제 기관에 서비스를 제공했다. 인수 후 이 능력은 Mastercard의 디지털 자산 리스크 관리 및 컴플라이언스 체계에 통합되었다.

2020년 PwC 스위스는 ETH Zurich에서 파생된 ChainSecurity 팀을 받아들여 스마트 컨트랙트 감사 및 형식 검증 능력을 강화하고, 암호화폐 자산 관련 수요가 있는 고객에게 서비스를 제공했다.

올해 9월 S&P Global은 OpenZeppelin 인수 합의를 발표했다. OpenZeppelin은 널리 사용되는 오픈소스 스마트 컨트랙트 라이브러리를 유지 관리하고 대량의 보안 심사를 수행한 바 있으며, S&P의 의도는 온체인 기술 리스크를 자사의 평가 및 리스크 평가 프레임워크에 포함시키는 것이다. 인수 후 OpenZeppelin은 계속 독립적으로 운영되며 브랜드와 주요 책임자를 유지할 것이다. （추천 읽기 《세계를 평가하는 S&P, 암호화폐 보안 기업을 인수하다》）

이 거래들의 공통점은 명확하다. 인수자 대부분은 암호화폐 사업으로 전면 전환하려는 것이 아니라, 자신에게 부족한 특정 세부 능력——컴플라이언스 모니터링, 스마트 컨트랙트 심사, 온체인 기술 리스크 등——을 확보하여 기존 기관 고객에게 서비스하거나 자사 인프라를 강화하려는 것이다.

OpenAI가 이 거래를 추진한다면 목적도 대체로 같을 것이다. 즉 모델 능력이 빠르게 상승하고 보안 수요가 동시에 높아지는 단계에서 검증된 전문 보안 연구 및 실행 능력을 보강하는 것이다. 현재 협상은 여전히 초기 단계이며, 공식 확인도 가격 정보 유출도 없다.

도구와 연구 성과를 공개하는 데 익숙한 Trail of Bits 같은 회사 입장에서, 더 큰 플랫폼에 편입된 후 연구 개방성이 변화할지 여부가 외부의 관심사가 되고 있다. 오픈소스 보안 생태계 입장에서, 더 많은 모델 기업이 전문 보안 팀을 직접 내부에 들인다면, 향후 '취약점 발견'과 '취약점 수정'의 리듬은 더욱 벌어질 수 있다.