주간 AI 소식 — OpenAI 모델이 구글 클라우드로 들어갔고, AI가 PHP의 큰 구멍을 먼저 찾았고, ChatGPT 광고는 89개국이 됐다

10월 21일 하루에 큰 발표 세 건이 겹쳤습니다. OpenAI가 자기 모델을 구글 클라우드에서도 팔기로 했고, AI로 찾아낸 PHP의 치명적 결함 두 개가 긴급 패치됐으며, ChatGPT 광고가 26개국을 더해 89개국이 됐습니다. 세 소식이 각각 무엇이 사실이고 어디까지 확인됐는지, 작은 팀이 이번 주에 무엇을 점검하면 되는지 정리했습니다.

이 글은 AI(Claude)와 함께 작성했고 편집자가 검수했습니다. Claude를 만든 앤트로픽은 이 글에 나오는 OpenAI·구글과 경쟁하는 회사이고, 우리 회사는 Claude를 업무에 쓰고 있어 이해관계가 있습니다. 회사가 발표한 수치는 「회사가 발표한 것」으로 표시했고, 서로 다르게 보도된 내용은 양쪽을 함께 적었습니다. 특정 기업에 대한 투자 의견이 아닙니다.

이번 주 큰 소식은 공교롭게 모두 10월 21일에 나왔습니다. 하나는 어디서 사나(OpenAI 모델을 구글 클라우드에서도 살 수 있게 됐다), 하나는 누가 먼저 찾나(AI가 웹의 바탕 언어 PHP에서 치명적 결함을 먼저 찾았다), 하나는 누가 돈을 내나(ChatGPT 무료 이용자 화면의 광고가 89개국으로 넓어졌다)입니다. 같은 주에 나온 Agent Skills 재단 기부와 Claude API 새 버전, Railway 키 유출 공지는 NO.26에서 따로 다뤘습니다.

1. OpenAI 모델이 구글 클라우드에 들어간다 (사실)

OpenAI는 10월 21일, 자사 최상위 모델과 코딩 에이전트 Codex를 구글 클라우드의 모델 모음 서비스 Model Garden에서 쓸 수 있게 한다고 발표했습니다. 발표문에 따르면 구매는 Google Cloud Marketplace를 거치고, 구글 클라우드와 이미 사용 약정을 맺은 기업은 그 약정 금액에서 차감해 쓸 수 있습니다. 정식 제공은 「앞으로 몇 주 안」으로 예정돼 있고, 구글의 코딩 도구 Antigravity와 업무 자동화 에이전트 Gemini Agent에도 「곧」 들어간다고 했습니다. 발표문은 마이크로소프트가 여전히 OpenAI의 「주된 클라우드 파트너」라고 덧붙였습니다.

OpenAI 발표문 자체에는 모델 이름과 가격이 없습니다. SiliconANGLE과 Techzine은 GPT-6 Astra, GPT-6.1 Sol, GPT-6 Luna 세 모델이 대상이라고 보도했고, Techzine은 처음에는 일부 기업 고객 대상의 비공개 미리보기로 시작한다고 적었습니다. 「몇 주 안 정식 제공」(OpenAI)과 「비공개 미리보기로 시작」(Techzine)은 서로 모순은 아니지만, 지금 당장 누구나 쓸 수 있는 상태는 아니라는 뜻입니다.

2. AI가 PHP의 치명적 결함을 먼저 찾았다 — 「PHP2Shell」 (사실)

같은 날 OpenAI는 오픈소스 보안 프로그램 「Patch the Planet」을 소개했습니다. 연구자·유지보수자·사고 대응 기관을 묶어 오픈소스의 치명적 결함을 고치는 일로, 첫 사례가 웹사이트와 웹 앱을 돌리는 언어 PHP의 결함 두 개입니다. OpenAI는 보안 회사 Calif의 연구자가 이 프로그램 안에서 GPT-5.6 Sol로 결함 하나를 찾았고, Wiz가 두 결함을 독립적으로 찾아 신고했다고 밝혔습니다. TNW와 Latent Space는 첫 발견이 8월이었고, Wiz는 자체 도구와 구글 Gemini 4 Argon, GPT-5.6 Sol을 함께 썼다고 보도했습니다(Wiz는 구글이 인수한 회사입니다). 공개까지 약 2개월 동안 조율했다고 OpenAI는 밝혔습니다.

결함 번호는 CVE-2026-109618, CVE-2026-109619입니다. 캐나다 사이버보안센터 경보에 따르면 인증 없이 서버에서 임의 코드를 실행할 수 있는 결함이고, 수정 버전은 PHP 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35(10월 21일 공개)입니다. 웹 요청을 처리하는 모든 PHP 설치가 영향권이며, 그중 Apache의 mod_php 방식이 가장 위험하다고 적었습니다. 8.1 이하는 PHP 프로젝트의 지원이 끝난 버전이라, 쓰는 곳이 있다면 공급사(호스팅 업체·장비 제조사)의 수정 여부를 직접 확인하라고 했습니다.

여기서 숫자 하나를 바로잡아 읽을 필요가 있습니다. 여러 매체 제목의 「웹의 70%」는 PHP로 돌아가는 사이트의 비율 추정(Wiz)이지, 실제로 취약한 사이트 수를 센 것이 아닙니다(TNW). 실제 공격 상황도 출처마다 다릅니다. 공개 뒤 공격 코드가 돌고 있다는 데는 보도가 일치하지만, The Hacker News는 공격 시도가 수백만 건이라고 제목을 달았고, 캐나다 사이버보안센터는 10월 23일 갱신 시점까지 실제 악용은 확인되지 않았다고 적었습니다.

10월 23일에는 별도의 결함 CVE-2026-115560이 하나 더 알려졌습니다. 10월 21일 패치로는 고쳐지지 않지만, 세션 설정을 실행 중에 바꾸는 드문 조합에서만 해당돼 PHP는 긴급 패치 대신 다음 정기 릴리스에서 고친다고 했습니다. 그때까지의 임시 조치는 `session.upload_progress.enabled=0`이며, 21일에 이미 이 설정을 적용한 곳은 추가 조치가 필요 없다고 THN과 캐나다 사이버보안센터가 같은 내용을 전했습니다.

OpenAI는 함께 PHP 버전 점검용 Codex 스킬을 공개했고, 보안 인력이 부족한 기관에 자사 보안 도구 Daybreak 이용을 10억 달러 규모로 지원하겠다고 밝혔습니다(회사가 발표한 것).

3. ChatGPT 광고, 26개국 더해 89개국 (사실)

역시 10월 21일, OpenAI는 ChatGPT 광고를 26개국에 더 열어 모두 89개국이 됐다고 발표했습니다. 발표 제목에 따르면 지금까지 광고를 집행한 광고주는 10만 곳이 넘습니다(회사가 발표한 것, 누적 수치). Investing.com과 PPC Land에 따르면 새 국가 26곳 중 14곳이 중남미이고, 이름이 공개된 곳은 아르헨티나·칠레·콜롬비아·페루·나이지리아·남아공·세르비아·우크라이나·캄보디아·방글라데시·파키스탄입니다. 광고주는 대행 파트너를 통하거나 Ads Manager에서 직접 살 수 있습니다.

광고가 붙는 곳은 무료와 Go 요금제뿐이고, Plus·Pro·Enterprise에는 붙지 않습니다. 한국은 이번 26곳이 아니라 이미 6월 19일에 도입됐습니다(전자신문·이투데이). 당시 국내 보도에 따르면 한국에서도 무료·Go 요금제의 성인 이용자만 대상이고, 미성년자로 확인되거나 추정되는 계정에는 광고가 나오지 않으며, 광고주는 대화 내용이 아니라 조회·클릭 같은 집계 성과만 받습니다. OpenAI는 광고가 답변에 영향을 주지 않고 답변과 분리해 표시한다는 원칙을 이번에도 되풀이했습니다.

세 소식을 함께 읽으면 (해석)

세 소식의 공통점은 「AI가 바닥에 깔린 것들과 만나는 방식」이 바뀐다는 점입니다. 모델은 이제 한 회사의 클라우드가 아니라 고객이 이미 쓰는 클라우드로 찾아가고, AI는 사람이 수십 년 써 온 바탕 코드의 구멍을 사람보다 먼저 찾고, 무료 AI 화면은 광고라는 오래된 돈의 흐름과 만났습니다.

작은 팀에게 남는 질문도 셋입니다. 첫째, 모델 선택이 계약에서 풀린다면 무엇으로 고를까. 같은 클라우드 안에서 여러 회사 모델을 고를 수 있게 될수록, NO.17에서 쓴 「내 작업 세 개로 30분 시험」 같은 기준이 더 중요해집니다. 둘째, AI가 구멍을 먼저 찾는다는 건 공격하는 쪽도 같은 도구를 쓴다는 뜻입니다. 이번에는 찾는 쪽과 고치는 쪽이 두 달 앞서 있었지만, 공개 뒤 공격 코드가 곧바로 돌았습니다. 패치까지의 시간이 짧아질수록 「우리 서비스 어디에 그 부품이 있는지」를 미리 아는 팀이 유리합니다. 셋째, 광고가 답변에 영향을 주지 않는다면, 무료 이용자에게 우리 제품이 보이는 길은 광고 자리와 답변 속 언급 두 갈래로 나뉩니다. 답변 쪽은 돈으로 살 수 없다는 것이 OpenAI의 원칙이므로, 정확하고 열려 있는 공개 페이지가 그 길의 바탕이 된다고 봅니다(이 마지막 연결은 우리의 해석입니다).

우리라면 — 이번 주에 돌릴 점검 (실전)

PHP가 숨어 있는 곳 목록 만들기. 우리 홈페이지는 빌드 도구로 만든 정적 페이지라 서버에서 PHP를 직접 돌리지 않는 구조입니다. 그래도 쇼핑몰 솔루션, 블로그·예약 플러그인, 호스팅 관리 화면처럼 남이 운영하는 서비스 안에는 PHP가 있을 수 있습니다. 쓰는 외부 서비스마다 「PHP를 쓰는지, 썼다면 10월 21일 수정 버전으로 올렸는지」를 공지에서 확인하고, 공지가 없으면 문의합니다. 70%라는 숫자에 놀라기보다 우리 목록의 칸을 채우는 쪽이 빠릅니다.
모델 시험은 작업 기준으로. 클라우드 안에서 OpenAI·구글·앤트로픽 모델을 함께 고를 수 있게 되면 「어느 회사냐」보다 「우리 작업에서 몇 번 고쳤나」가 기준입니다. 새 모델이 정식으로 열리면 NO.17의 시험표(작업 세 개 · 같은 지시 · 정확도/수정 횟수/시간)를 그대로 다시 돌립니다. 미리보기 단계의 성능 주장은 기록만 해 둡니다.
광고보다 답변에 맞는 페이지. 우리 홍보는 지금 광고비를 쓰지 않는 원칙입니다. 그래서 ChatGPT 광고는 당장 집행 대상이 아니라 「관찰 대상」으로 두고, 대신 우리 앱과 서비스 소개 페이지가 질문에 바로 답하는 문장(무엇을 하는지, 무엇을 하지 않는지, 출처)을 갖추고 있는지 점검합니다. 한국에서 셀프 서비스 광고 구매가 열려 있는지는 이번에 확인하지 못했으므로, 열린다고 가정하지 않습니다.

이번 주에 고르지 않은 것

앤트로픽의 장기이익신탁(LTBT) 신임 위원 소식과 생명과학 객원 연구자 공모, 허깅페이스에 올라온 501B 규모 공개 모델 Beam, OpenAI의 Decisions API 발표, 가격 비교 사이트에 오른 DeepSeek V4.1 Flash 같은 소식도 있었습니다. 본문을 충분히 확인하지 못했거나 출처가 한 곳뿐이어서 이번 주간 소식에는 넣지 않았습니다.

이 소식에서 확인하지 못한 것

OpenAI–구글 클라우드: OpenAI 발표문에는 모델 이름·가격·지역이 없습니다. 세 모델 이름은 매체 보도(SiliconANGLE·Techzine)로만 확인했고, 정식 제공 날짜는 「몇 주 안」 이상으로 확인하지 못했습니다. 구글 클라우드 측 공식 글은 직접 열지 못했습니다.
PHP2Shell: 공개 일정이 유출로 앞당겨졌다는 보도(TNW가 WSJ를 인용)가 있지만, 무엇이 언제 새 나갔는지는 확인하지 못했습니다. 실제 악용 규모는 출처마다 다릅니다(위 본문 참고). 8.1 이하 옛 버전용 수정이 PHP 프로젝트에서 나왔다는 보도도 있으나 캐나다 경보와 표현이 달라, 공급사 확인이 필요하다는 쪽으로 적었습니다. PHP 공식 보안 공지 원문은 직접 열지 못했습니다.
ChatGPT 광고: OpenAI 발표 원문은 우리 쪽에서 열리지 않아 제목과 매체 보도로 확인했습니다. 새 26개국 중 이름이 공개된 11곳 외 15곳, 한국 셀프 서비스 광고 구매 가능 여부는 확인하지 못했습니다. 한국 도입일은 국내 보도의 6월 19일로 적었고, 다른 날짜를 적은 해외 매체도 있었습니다.

함께 읽은 글

성격이 다른 출처를 직접 열어 확인했습니다. 회사 발표, 정부 기관 경보, 매체 보도를 나눠 적습니다.

회사 발표:

정부 기관:

cyber.gc.caAL26-026 Critical vulnerabilities impacting PHP (Canadian Centre for Cyber Security)영문, 정부 보안 경보(10/23 갱신)

보도: