이 칼럼은 콜드카드(Coldcard) 하드웨어 지갑의 시드 생성 취약점 사고를 계기로, AI 시대에는 폐쇄형(비공개) 소스코드도 더 이상 보안 수단이 될 수 없다고 주장한다. 콜드카드는 하드웨어 엔트로피 대신 취약한 소프트웨어 난수생성기(MicroPython Yasmarang)로 시드를 생성하는 버그가 2021년부터 5년간 공개 펌웨어에 남아있었고, 공격자들이 이를 악용해 약 9천만 달러 상당 4,585개 주소의 비트코인을 탈취했다. 사람은 5년간 이 버그를 찾지 못했지만, 프런티어 AI 모델들은 단 한 번의 프롬프트로 몇 분 만에 같은 결함을 찾아냈다는 점이 드러나면서, 필자는 컴파일된 바이너리조차 기계가 실행하려면 완전한 명령어를 그대로 노출할 수밖에 없어 난독화나 폐쇄 소스가 주던 이해의 장벽이라는 보안 프리미엄이 AI 앞에서 사라지고 있다고 지적한다. 다만 오픈소스가 자동으로 안전한 것도 아니라며 재현 가능한 빌드, 실패 시 안전 모드, 최소화된 신뢰 핵심부, 비트코인의 경우 다중 벤더 멀티시그 분산을 대안으로 제시한다.

• •콜드카드의 약한 난수생성기 버그가 5년간 방치돼 약 9천만 달러, 4,585개 주소 피해 발생
• •사람은 5년간 못 찾은 버그를 프런티어 AI 모델은 단일 프롬프트로 수 분 만에 발견
• •실행되는 순간 기계어는 완전한 명령을 그대로 노출—난독화·폐쇄소스의 '이해 장벽' 프리미엄이 AI로 사라짐
• •오픈소스도 자동으로 안전하진 않음(하트블리드, xz 백도어)—관건은 공개 여부가 아니라 체계적 대비
• •대안으로 재현 가능한 빌드, 실패 시 안전 모드, 최소 신뢰 핵심부, 비트코인은 다중 벤더 멀티시그 제시