오늘의 트렌드로 돌아가기: PHP, 공격자가 코드를 실행할 수 있는 결함을 고치려고 Windows 웹 도구를 업데이트
Poly 랭킹 · 오늘의 트렌드에서

데이터 압축 알고리즘: 웹 코덱 TOP 10 2026

Zstandard는 압축률 차이가 0.4%뿐인데도 Brotli보다 3.6배 빠르게 풉니다(1,550 대 425 MB/s). 반면 2026년 10월에는 Brotli의 압축 해제 부분에서 9.8점짜리 원격 범위 밖 쓰기 취약점이 나왔습니다.

  • 1위: Zstandard (zstd)
  • 10개 순위

01최종 목록

선도 AI들이 각자 독립적으로 열 개짜리 목록을 만들었습니다. 확인하기 쉬운 하나의 결과입니다. 모든 순위에는 이유, 출처, 그 항목을 넣은 AI 목록이 있습니다.

순서: AI의 동의가 많은 항목부터 적은 항목 순입니다.

밝은 배지는 해당 AI가 이 항목을 자기 목록에 넣었다는 뜻이고, 흐린 배지는 넣지 않았다는 뜻입니다.

  1. 1

    Zstandard (zstd)

    압축률은 거의 같은데(2.896 대 2.883), 해제 속도는 1,550 MB/s로 Brotli의 425 MB/s보다 빠릅니다. CVE는 몇 건 없고, 그것도 압축 해제 부분이 아니라 명령줄 도구에 있습니다. 웹 파일에서는 Brotli가 3.08 대 2.86으로 여전히 앞섭니다.

    포함함: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 포함하지 않음: ChatGPT, Wenxin.

    각 AI 목록에서의 순위: Meta: 목록 보기 · Grok: 목록 보기 · Gemini: 목록 보기 · Nova: 1 · StepFun: 목록 보기 · Kimi: 목록 보기 · DeepSeek: 목록 보기 · Qwen: 목록 보기

    각 AI가 짚은 점 8
    • Meta

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Grok

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Gemini

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Nova1위

      200–400 MB/s로 압축을 풀고 2.5–3.5배 압축률을 내지만, 2026년 스트림 검증 결함으로 서비스 중단 위험이 커졌습니다.

      출처 ↗
    • StepFun

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Kimi

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • DeepSeek

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Qwen

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 8개가 이 순위로 선택
  2. 2

    gzip / DEFLATE (zlib)

    여전히 웹 자바스크립트의 60%를 압축합니다(Brotli는 29%). 해제 속도는 390 MB/s, 압축률은 2.743입니다. zlib 압축 해제기에는 CVE 19건이 있고, 그중에는 9.8점짜리 CVE-2022-37434도 있습니다.

    포함함: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 포함하지 않음: ChatGPT, Wenxin.

    각 AI 목록에서의 순위: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    각 AI가 짚은 점 8
    • Meta2위

      zlib로 gzip을 제공하는 사이트 82% – PHP, Python gzip, Node zlib, Ruby Zlib, 모든 Nginx 빌드에 사용 – 큰 gzip 헤더 추가 필드를 통한 CVE-2022-37434 힙 오버플로

    • Grok2위

      거의 모든 언어 런타임과 웹 서버에 연결되어 있습니다. 수십 년간의 감사에도 2022년과 2026년을 포함해 치명적 힙 오버플로가 여러 건 나왔습니다.

    • Gemini2위

      Node.js, Python, PHP 런타임에 조용히 링크되어, HTTP 서버 응답의 47.1%가 30년 된 메모리 모델에 의존합니다.

    • Nova3위

      웹의 원래 압축기로, 여전히 HTTP 트래픽의 80%를 1.5–2배 압축률로 처리하지만, 과거 zlib 결함에 시달려 왔습니다.

      출처 ↗
    • StepFun2위

      CVE 19건, 그리고 1.2.12까지 기본 HTTP gzip 경로에 남아 있던 inflate() 힙 오버플로입니다.

    • Kimi2위

      PHP, Node, Python, curl에 들어 있고, OpenSSL 자체에도 링크되어 있습니다. 가장 나쁜 inflate() 버그는 9.8점을 받았습니다.

    • DeepSeek2위

      2002년 이후 CVE 19건, 공개 익스플로잇 9건, inflate의 CVSS 9.8 힙 오버플로가 있습니다. gzip, PNG, 수많은 HTTP 스택 뒤의 압축 해제기입니다.

    • Qwen1위

      인터넷의 보이지 않는 폐입니다. 웹 트래픽의 90%를 압축하면서, 메모리 손상 CVE를 몇 년에 한 번씩 조용히 떨어뜨립니다.

      출처 ↗
    AI 8개가 이 순위로 선택
  3. 3

    LZ4

    해제 속도는 3,850 MB/s로 가장 빠르지만, 압축률은 2.101뿐이라 zstd보다 전송량이 커집니다. 일부 AI는 CVE가 0건이라고 했지만, CVE-2021-3520은 실제로 메모리 손상을 일으키는 정수 넘침입니다.

    포함함: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 포함하지 않음: ChatGPT, Wenxin.

    각 AI 목록에서의 순위: Meta: 목록 보기 · Grok: 목록 보기 · Gemini: 목록 보기 · Nova: 4 · StepFun: 목록 보기 · Kimi: 목록 보기 · DeepSeek: 목록 보기 · Qwen: 목록 보기

    각 AI가 짚은 점 8
    • Meta

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Grok

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Gemini

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Nova4위

      500 MB/s 이상으로 가장 빠른 압축 해제기지만 압축률은 1.5–2배에 그칩니다. 단순한 구조 덕분에 Brotli/Zstd에서 보이는 복잡한 취약점을 피합니다.

      출처 ↗
    • StepFun

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Kimi

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • DeepSeek

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Qwen

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 8개가 이 순위로 선택
  4. 4

    Brotli

    웹 텍스트를 가장 촘촘하게 줄입니다. 클라우드플레어 자산에서 3.08:1로 gzip의 2.56보다 높고, 레벨 11에서는 19% 더 작습니다. 대가는 CVE-2026-111497입니다. 1.0.3부터 1.2.0까지 모든 버전에 있는 9.8점짜리 범위 밖 쓰기 오류입니다.

    포함함: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. 포함하지 않음: ChatGPT, Wenxin.

    각 AI 목록에서의 순위: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: 목록 보기 · Qwen: 목록 보기

    각 AI가 짚은 점 8
    • Meta7위

      Node zlib, Bun, Python brotli, PHP 8.2–8.5 Windows 빌드에 포함된 C 디코더 – 모든 생태계에 걸친 CVE-2026-111497 Node2Shell/HTTP2Shell 원격 코드 실행

      출처 ↗
    • Grok5위

      2026년 10월 26일 Windows PHP를 긴급 재빌드하게 만든 바로 그 라이브러리입니다. 치명적 디코더 범위 밖 쓰기 하나가 Node, Python, .NET, PHP로 번졌습니다.

      출처 ↗
    • Gemini9위

      빠른 스트림 디코딩을 위해 PHP와 Node.js에 기본 내장되어 있으며, 2026년 10월 범위 밖 쓰기로 여러 버전의 바이너리를 긴급히 다시 빌드해야 했습니다.

      출처 ↗
    • Nova2위

      PHP 8.2 이상에서 쓰이는 구글의 4–5배 압축기입니다. 하지만 CVE-2026-111497이 압축 해제를 원격 코드 실행 경로로 바꿨습니다.

    • StepFun7위

      이 목록에서 가장 새로운 항목이며, 같은 순간 Node.js, Bun, PHP, Python에 걸쳐 번들된 디코더에 원격 코드 실행 버그가 생긴 유일한 항목입니다.

    • Kimi9위

      이 목록에서 가장 젊은 라이브러리인데 이미 인증 없는 원격 코드 실행이 살아 있습니다. 바로 '인그레스 압축 해제' 패턴이며, 앞의 맥락 이야기 그대로입니다.

    • DeepSeek

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Qwen

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 8개가 이 순위로 선택
  5. 5

    Snappy

    해제 속도는 1,500 MB/s, 압축률은 2.089이며, 허프만 부호화(글자를 짧은 비트로 바꾸는 과정)를 아예 쓰지 않습니다. 알려진 CVE(CVE-2023-43642)는 C++ 핵심이 아니라 snappy-java 래퍼에 있습니다.

    포함함: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 포함하지 않음: ChatGPT, Nova.

    각 AI 목록에서의 순위: Meta: 목록 보기 · Grok: 목록 보기 · Gemini: 목록 보기 · StepFun: 목록 보기 · Kimi: 목록 보기 · DeepSeek: 목록 보기 · Wenxin: 목록 보기 · Qwen: 목록 보기

    각 AI가 짚은 점 8
    • Meta

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Grok

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Gemini

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • StepFun

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Kimi

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • DeepSeek

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Wenxin

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Qwen

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 8개가 이 순위로 선택
  6. 6

    XZ / LZMA

    여기서 압축률이 가장 높습니다(커널 SquashFS 시험에서 3.43). 하지만 해제는 35 MB/s뿐입니다. 가장 심각한 CVE-2024-3094(10.0점)는 해석 오류가 아니라 몰래 심어 둔 백도어였습니다.

    포함함: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 포함하지 않음: ChatGPT, Nova.

    각 AI 목록에서의 순위: Meta: 목록 보기 · Grok: 목록 보기 · Gemini: 목록 보기 · StepFun: 목록 보기 · Kimi: 목록 보기 · DeepSeek: 목록 보기 · Wenxin: 목록 보기 · Qwen: 목록 보기

    각 AI가 짚은 점 8
    • Meta

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Grok

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Gemini

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • StepFun

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Kimi

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • DeepSeek

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Wenxin

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Qwen

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 8개가 이 순위로 선택
  7. 7

    bzip2

    시험에 따라 34~90 MB/s로 풀어서 실시간 HTTP에는 너무 느립니다. 2019년의 범위 밖 쓰기 오류(CVE-2019-12900)는 NVD에서 9.8점, 레드햇에서 4.4점입니다.

    포함함: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 포함하지 않음: ChatGPT, Nova.

    각 AI 목록에서의 순위: Meta: 목록 보기 · Grok: 목록 보기 · Gemini: 목록 보기 · StepFun: 목록 보기 · Kimi: 목록 보기 · DeepSeek: 목록 보기 · Wenxin: 목록 보기 · Qwen: 목록 보기

    각 AI가 짚은 점 8
    • Meta

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Grok

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Gemini

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • StepFun

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Kimi

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • DeepSeek

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Wenxin

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Qwen

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 8개가 이 순위로 선택
  8. 8

    LZO

    실시간 해제를 위해 만들어졌습니다. SquashFS 시험에서 217 MB/s, 압축률 2.64를 기록했고, 다른 곳에서는 780 MB/s라고 주장합니다. 2014년의 정수 넘침(CVE-2014-4607)은 오래된 빠른 C 코드가 얼마나 빨리 낡는지 보여 줬습니다.

    포함함: Meta, Grok, Gemini, StepFun, DeepSeek. 포함하지 않음: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    각 AI 목록에서의 순위: Meta: 목록 보기 · Grok: 목록 보기 · Gemini: 목록 보기 · StepFun: 목록 보기 · DeepSeek: 목록 보기

    각 AI가 짚은 점 5
    • Meta

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Grok

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Gemini

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • StepFun

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • DeepSeek

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 5개가 이 순위로 선택
  9. 9

    Zopfli

    DEFLATE 출력을 3~8% 줄이지만, 압축 시간은 약 81~100배 걸립니다. 출력을 어떤 gzip 프로그램이든 읽을 수 있어서 공격당할 수 있는 부분은 늘리지 않습니다.

    포함함: StepFun, Kimi, Qwen. 포함하지 않음: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    각 AI 목록에서의 순위: StepFun: 목록 보기 · Kimi: 목록 보기 · Qwen: 목록 보기

    각 AI가 짚은 점 3
    • StepFun

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Kimi

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Qwen

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 3개가 이 순위로 선택
  10. 10

    LZW (Unix compress)

    1980년대 사전 방식 압축기로, Unix compress와 GIF의 바탕입니다. 특허는 2003년 6월 20일에 만료되었고, 브라우저는 이를 기본으로 풀지 못해서 오늘날 네트워크에서 얻는 이득은 없습니다.

    포함함: Meta, Kimi. 포함하지 않음: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    각 AI 목록에서의 순위: Meta: 목록 보기 · Kimi: 목록 보기

    각 AI가 짚은 점 2
    • Meta

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    • Kimi

      자체 목록에서는 다른 이름입니다: 전체 목록을 여세요.

      목록 보기
    AI 2개가 이 순위로 선택

상위 3위 더 알아보기 ↓

02상위 3위 더 알아보기

순위는 위에 있습니다. 여기서는 상위 세 곳이 무엇인지, 왜 여기 있는지, 알아 둘 만한 것을 소개합니다.

세 가지는 압축률, 압축 해제 속도, 해제기의 버그를 함께 따져 순위를 매깁니다. 그래서 속도만으로 순서가 정해지지 않습니다. LZ4는 해제가 가장 빠르지만 3위입니다. 속도와 압축률은 같은 Silesia 시험에서 나왔고, 웹 점유율 수치(60% 대 29%)는 다른 것을

1Zstandard (zstd)

1위 — Zstandard (zstd). 10개 AI 중 8개의 목록에 포함; 그 안의 중간 순위: 1. Brotli보다 약 3.6배 빠르게 풀리고 압축률은 거의 같습니다. 버그는 적고, 그마저 해제기 밖에 있습니다.

알고 계셨나요

  • 2018년 캐노니컬은 우분투 .deb 패키지에 zstd 레벨 19를 시험했습니다. 압축 풀기는 xz보다 훨씬 빨랐지만 패키지는 약 6% 커졌습니다. 아치 리눅스는 나중에 zstd로 바꾼 뒤 압축 풀기가 14배 빨라졌고, 크기는 0.8% 늘었다고 밝혔습니다.

무엇인가
2016년 페이스북(메타)이 공개한 빠른 압축 도구입니다.
강점
Brotli보다 3.6배 빠르게 풀리면서 압축률은 거의 같습니다.
누구에게 맞나
서버에서 속도와 작은 파일 크기를 함께 원하는 곳에 알맞습니다. 브라우저나 CDN(파일을 나눠 보내는 서버망)이 지원하지 않는 곳에서는 약합니다.
  • 압축 해제 속도와 압축률해제 1,550 MB/s, 압축률 2.896

위키백과 · Wikidata

여기 있는 이유
  • 공식 lzbench 시험(Silesia 자료 묶음)에서 zstd 1.5.7은 데이터를 1550 MB/s로 풉니다. Brotli 1.1.0은 425 MB/s, zlib은 390 MB/s입니다. Brotli보다 약 3.6배 빠른 셈입니다.

  • 같은 표에서 zstd의 압축률이 가장 높습니다: 2.896. Brotli는 2.883, zlib은 2.743, LZ4는 2.101, Snappy는 2.089입니다. 압축 속도는 510 MB/s인데, Brotli는 290 MB/s, zlib은 105 MB/s입니다.

알고 계셨나요
  • Zstandard는 레벨 1 아래로도 내려갈 수 있습니다. 레벨은 가장 빠른 마이너스 7부터 가장 강하지만 압축이 가장 느린 22까지 있습니다. 그래서 한 도구로 가볍고 빠른 압축과 아주 강한 압축을 모두 할 수 있습니다.

역사
  • 2016년 페이스북(현 메타)은 Zstandard 1.0을 BSD 라이선스로 공개했습니다. Deflate보다 빠르게 만들려고 설계했습니다. Deflate는 zip과 gzip이 쓰는 압축 방식으로, 20년 동안 속도와 크기의 균형을 잘 잡아 왔습니다.

유의할 점
  • 한 번 저장해 두고 여러 번 내보내는 파일의 경우, 한 시험에서 레벨 11의 Brotli가 여전히 가장 작은 파일을 만들었습니다. 다만 레벨 19의 zstd는 약 4배 빠르게 압축했습니다.

  • 브라우저 지원은 더 최근의 일입니다. Chrome은 2024년 버전 123에서 zstd를 추가했습니다. Chromium 논의에서는 Firefox 엔진(Gecko)이 아직 아무 계획도 밝히지 않았고, 많은 CDN도 따라가는 데 더뎠습니다.

사람들의 말
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

더 알아보기
  • README를 열고 Benchmarks 항목으로 이동해 보십시오. zstd 줄을 Brotli, zlib, LZ4 줄과 비교하고, zstd가 압축률과 함께 얼마나 빨리 풀리는지 살펴보십시오.

상위 3위 비교 ↓

2gzip / DEFLATE (zlib)

2위 — gzip / DEFLATE (zlib). 10개 AI 중 8개의 목록에 포함; 그 안의 중간 순위: 2. 여전히 웹 자바스크립트 대부분을 압축하고 어디서나 돌아가지만, 세 가지 중 해제가 가장 느리고 치명적인 해제기 버그가 있습니다.

알고 계셨나요

  • 마크 애들러는 장루프 가이이와 함께 zlib의 압축 풀기 코드를 썼고, 장루프 가이이는 압축 코드를 썼습니다. 애들러는 미국 항공우주국의 화성 탐사 로버 임무에도 참여해, 나중에 2003년 임무에 선택된 개념의 연구를 이끌었습니다.

무엇인가
거의 모든 언어와 웹 서버에 들어 있는 전통적인 gzip 방식입니다.
강점
가장 널리 쓰입니다. 웹 자바스크립트의 60%를 압축하는데, Brotli는 29%뿐입니다.
누구에게 맞나
어디서나 작동해야 하는 오래된 시스템에 알맞습니다. 속도나 작은 파일 크기가 중요하다면 좋은 선택이 아닙니다.
  • 압축 해제 속도와 압축률해제 390 MB/s, 압축률 2.743

위키백과 · Wikidata

여기 있는 이유
  • zlib 1.3.1은 공식 Silesia 시험에서 세 가지 중 가장 느리고 가장 약합니다. 해제는 390 MB/s로, zstd의 1550 MB/s와 비교됩니다. 압축은 105 MB/s, 압축률은 2.743입니다.

  • zlib의 해제기(inflate)에는 심각한 보안 취약점 CVE-2022-37434가 있습니다. 1.2.12 이하 버전에서, gzip 헤더의 큰 필드가 버퍼 오버플로(저장 공간 넘침)를 일으킬 수 있습니다. 위험도는 9.8(Critical)이며, inflateGetHeader를 호출하는 프로그램만 영향을 받습니다.

역사
  • zlib의 첫 공개 버전인 0.9는 1995년 5월 1일에 나왔습니다. 원래 libpng 이미지 라이브러리를 위해 만들어졌고, 장루프 가이이와 마크 애들러가 썼습니다.

Qwen이(가) 1위로 꼽았습니다. 그들이 본 것
  • Qwen: 인터넷의 보이지 않는 폐입니다. 웹 트래픽의 90%를 압축하면서, 메모리 손상 CVE를 몇 년에 한 번씩 조용히 떨어뜨립니다.

상위 3위 비교 ↓

3LZ4

3위 — LZ4. 10개 AI 중 8개의 목록에 포함; 그 안의 중간 순위: 4. 지금까지 가장 빠른 해제기이지만, 압축률이 낮아 파일이 커지고 실제 해제기 버그도 있습니다.

알고 계셨나요

  • LZ4는 Linux 3.11 버전부터 리눅스 커널에 들어 있습니다. FreeBSD, Illumos, ZFS on Linux, ZFS-OSX도 ZFS 파일 시스템에서 실시간 압축에 씁니다.

무엇인가
2011년에 나온, 속도를 위해 만든 아주 단순한 압축기입니다.
강점
3,850 MB/s로 풀려서, zstd보다 약 2.5배 빠릅니다.
누구에게 맞나
속도가 크기보다 중요한 작업에 알맞습니다. 웹으로 파일을 보내는 용도에는 맞지 않습니다.
  • 압축 해제 속도와 압축률해제 3,850 MB/s, 압축률 2.101

위키백과 · Wikidata

여기 있는 이유
  • LZ4 1.10.0은 공식 Silesia 시험에서 3850 MB/s로 풀려 가장 빠릅니다. zstd의 1550 MB/s의 약 2.5배입니다. 대신 압축률이 2.101이라 zstd의 2.896보다 낮아, 파일이 더 큽니다.

  • LZ4에도 해제 결함 CVE-2021-3520이 있습니다. 일부러 조작한 파일이 정수 오버플로(숫자 범위 넘침)와 범위 밖 쓰기(허용되지 않은 곳에 쓰기)를 일으킬 수 있습니다. NVD는 9.8점, 레드햇은 8.6점으로 평가합니다.

    출처 ↗ ✓ 여러 AI가 확인
알고 계셨나요
  • LZ4에는 엔트로피 부호화 단계가 없습니다. 허프만 부호화를 쓰는 DEFLATE와 다릅니다. 각 데이터 조각은 1바이트 토큰으로 시작하고, 이 토큰은 4비트씩 두 부분으로 나뉩니다. 하나는 그대로 옮기는 글자 수, 다른 하나는 일치하는 부분의 길이입니다.

역사
  • 2011년 얀 콜레는 구글이 오픈소스로 공개한 비슷한 빠른 압축기 Snappy가 나온 지 1~2주 뒤에 LZ4를 공개했습니다. LZ4는 속도에서 Snappy를 앞섰습니다.

사람들의 말
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

더 알아보기
  • README를 열고 Benchmarks 항목으로 가 보십시오. LZ4가 가장 빠르게 풀리는 것을 확인한 뒤 압축률을 살펴보십시오. 그 낮은 압축률이 대가입니다. 웹으로 보낼 파일이 더 커집니다.

상위 3위 비교 ↓

상위 3위 나란히 보기

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
AI 목록 포함8 / 108 / 108 / 10
압축 해제 속도와 압축률해제 1,550 MB/s, 압축률 2.896해제 390 MB/s, 압축률 2.743해제 3,850 MB/s, 압축률 2.101
1위로 꼽은 AINovaQwen—

AI 수가 같은 순위는 각 AI 목록에서의 평균 순위로 정렬했습니다.

03알아 둘 만한 것

AI들이 목록을 만들며 발견한 것.

zstd와 Brotli의 압축률 차이는 시험 자료에 따라 다릅니다. Silesia에서는 0.4%(2.896 대 2.883)지만, 클라우드플레어 웹 자산에서는 7%(2.86 대 3.08)입니다. 이 경우 Brotli에 내장된 웹 사전이 도움을 줍니다.

발견한 AI:
포함함: Meta, Grok, StepFun, DeepSeek. 포함하지 않음: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
출처 ↗

enwik8에서 Brotli를 레벨 1에서 레벨 11로 올리면 압축률은 2.53에서 3.88로 오르지만, 압축 속도는 111.72 MB/s에서 0.35 MB/s로 떨어집니다.

발견한 AI:
포함함: ChatGPT. 포함하지 않음: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
출처 ↗

CVE-2026-111497은 모든 플랫폼에서 Brotli 1.0.3부터 1.2.0까지 모든 릴리스에 영향을 줬습니다. Node.js, Bun, PHP, Python 패키지에 함께 들어 있는 복사본을 통해 실행 환경까지 퍼졌습니다.

발견한 AI:
포함함: Meta, Grok, StepFun, Kimi. 포함하지 않음: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
출처 ↗

MB/s 수치는 시험마다 다릅니다. zstd 표는 zstd와 Brotli를 1,550 대 425 MB/s로 적었고, zstd 관리자는 웹 페이지에서 약 700 대 500 MB/s라고 밝혔습니다.

발견한 AI:
포함함: Meta, StepFun, DeepSeek. 포함하지 않음: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
출처 ↗

04사람들이 묻는 질문

압축 알고리즘이란 무엇입니까?

중복을 없애서 데이터를 더 적은 비트로 저장하는 방법입니다. zstd 같은 무손실 코덱은 Silesia 시험 자료를 2.896의 압축률로 줄이고, 원래대로 정확히 되돌립니다.

출처 ↗
압축 알고리즘은 어떻게 작동합니까?

반복되는 글자열을 앞에 나온 위치를 가리키는 참조(LZ77)로 바꾼 뒤, 그 결과를 허프만이나 FSE로 한 번 더 부호화합니다. Brotli는 흔한 웹 조각 약 120 KB 분량의 내장 사전도 씁니다.

가장 강력한 압축 알고리즘은 무엇입니까?

압축률만 본다면 최대 설정의 LZMA/xz와 Brotli입니다. Brotli 레벨 11은 enwik8에서 3.88:1에 이르지만, 압축 속도는 0.35 MB/s에 그칩니다.

압축 성능 시험 결과가 왜 서로 다릅니까?

결과는 시험 자료, 레벨, 컴퓨터에 따라 달라집니다. 같은 zstd 대 Brotli 해제 쌍도 한 시험에서는 1,550 대 425 MB/s, 다른 시험에서는 약 700 대 500 MB/s로 측정됩니다.

출처 ↗

05집계 방법

공식 없이 쉬운 말로.

1질문

네트워크 효율과 메모리 공격 면으로 본 웹 데이터 압축 알고리즘 TOP 10

2적용 범위

전 세계 웹 표준과 네트워크 프로토콜 기술

3살펴본 기준

  • 원본 HTTP 데이터 대비 압축 해제 속도와 전송량 감소
  • 기준 C 압축 해제기의 구조적 해석 복잡도와 과거 취약점 밀도
  • Zstandard 공식 성능 시험(lzbench, Silesia 시험 자료, i7-9700K) — zstd, Brotli, zlib, LZ4, Snappy의 압축률과 압축·해제 속도(MB/s)
  • 클라우드플레어 웹 자산 시험(오픈리플레이를 통해) — 실제 웹 자산의 평균 압축률: gzip 2.56, zstd 2.86, Brotli 3.08
  • HTTP Archive Web Almanac 2024 — 수집된 웹 응답을 실제로 압축하는 코덱은 무엇인가
  • 미국 국립표준기술연구소 NVD / OpenCVE — 각 코덱의 기준 C 압축 해제기에 있는 메모리 손상 및 서비스 거부(DoS) CVE

4순위를 매긴 AI

선도 AI: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen. 각 AI가 독립적으로 10위까지의 목록을 만들고 순위마다 출처를 밝혔습니다.

5순위를 정한 방법

AI마다 다르게 쓴 같은 항목은 하나로 셌습니다. 더 많은 AI가 목록에 넣고 더 높이 놓을수록 순위가 높아집니다. 'AI 합의'는 그 항목을 자기 목록에 넣은 AI의 수를 보여 줍니다. 출처는 AI가 직접 찾은 것뿐이며 사람이 추가한 것은 없습니다.

06AI별 목록

🇺🇸 ChatGPT10개 순위 · 메모 3개

같은 질문에 ChatGPT 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    Brotli (br)

    웹용 승자에게도 불편한 각주가 있습니다. 악의적으로 만든 스트림 하나가 CVSS 3.1 9.8로 평가된 디코더 결함을 드러냈습니다.

  2. 2
    Zstandard (zstd)

    한 공개 코퍼스 시험에서 최신 빠른 대안은 거의 479 MiB/s로 디코딩했습니다. 다만 HTTP 전용 보장은 아닙니다.

  3. 3
    Gzip / DEFLATE

    호환성 챔피언은 여전히 강력합니다. 한 텍스트 벤치마크에서 gzip -6과 zstd 3은 같은 1.48 MB 출력을 냈지만, zstd가 압축을 더 빨리 끝냈습니다.

  4. 4
    LZ4

    한 혼합 코퍼스 시험에서 LZ4는 742.106 MiB/s로 디코딩했습니다. 대역폭 절감이 부차적일 때 속도의 매력을 보여 줍니다.

    출처 ↗
  5. 5
    Snappy

    Snappy는 페이로드의 마지막 바이트까지 쥐어짜기보다 압축 해제 속도와 간단한 통합을 우선합니다.

    출처 ↗
  6. 6
    Deflate (raw DEFLATE 스트림)

    gzip 래퍼를 빼도 기본 DEFLATE 코딩은 바뀌지 않지만, 프레이밍 규약과 상호운용 기대치는 바뀝니다.

  7. 7
    LZMA / XZ

    압축률은 훌륭할 수 있지만, 한 공개 텍스트 시험에서 xz -6이 10.07 MB를 압축하는 데 1,771 ms가 걸렸습니다.

  8. 8
    Bzip2

    블록 정렬 방식은 일부 코퍼스에서 gzip보다 크기를 줄일 수 있지만, 인용된 시험에서 디코더가 현대 고속 코덱보다 훨씬 느립니다.

  9. 9
    LZHAM

    광범위한 코덱 비교에 나오므로 고압축 기준점으로는 유용하지만, 기본 HTTP 콘텐츠 인코딩 선택은 아닙니다.

    출처 ↗
  10. 10
    LZHAM / LZMA 계열 고압축 모드

    극단에서는 추가 압축률이 인코더 시간과 메모리를 불균형하게 더 많이 써서, 지연에 민감한 웹 응답에는 나쁜 기본값입니다.

    출처 ↗

ChatGPT의 발견

CPU 비용이 중요할 때 Zstandard와 LZ4는 매력적입니다. 인용된 혼합 코퍼스 시험은 zstd 압축 해제 478.733 MiB/s, LZ4 742.106 MiB/s를 보고하며, 그 시험에서 LZ4의 압축률이 더 나빴습니다.

2026년 10월 Brotli 사건은 인코더의 압축률이 디코더가 잘못된 입력을 안전하게 거부하는지 말해 주지 않는다는 교훈입니다.

압축 해제 알고리즘의 위험은 CVE 개수만으로 드러나지 않습니다. 근본 원인 디코더 버그 하나가 많은 언어 패키지에 영향을 줄 수 있고, 서비스 중단 공격과 메모리 손상 문제는 결과가 다릅니다.

🇺🇸 Meta10개 순위

같은 질문에 Meta 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    OpenSSL (libssl, libcrypto)

    Node.js, Python, PHP 8.x, .NET 8/9/10에 내장 – PHP 웹의 69.3%가 여전히 사용, 2026년 9월 14개 취약점 패치, 그중 CVE-2026-84782 CVSS 8.2 DTLS 힙 누출 포함

  2. 2
    zlib (libz)

    zlib로 gzip을 제공하는 사이트 82% – PHP, Python gzip, Node zlib, Ruby Zlib, 모든 Nginx 빌드에 사용 – 큰 gzip 헤더 추가 필드를 통한 CVE-2022-37434 힙 오버플로

  3. 3
    libcurl

    PHP cURL + CURLOPT_ENCODING 자동 압축 해제의 기반으로, Brotli 원격 코드 실행을 일으켰습니다. Guzzle은 기본적으로 ""를 설정 – SBOM 스캔에서 CVE 33건, 감사에서 치명적 6건

    출처 ↗
  4. 4
    libxml2

    PHP DOM, Python lxml, .NET의 XML 파서 – cvedetails 기준 2.9.10에 취약점 17건, Ubuntu USN-7974-1에 서비스 중단 4건, CVE-2025-8732, CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2 (libpcre)

    PHP preg_, Python re, Nginx의 정규식 엔진 – 여러 형태의 문자 클래스로 인한 CVE-2007-1660 버퍼 오버플로, pcre_compile의 힙 오버플로 CVE-2008-2371

  6. 6
    SQLite (libsqlite3)

    PHP PDO, Python sqlite3, Node sqlite에 내장된 DB – JSON 파싱에서 CVE-2026-51297 해제 후 사용 원격 코드 실행, 조작된 SQL을 통한 원격 CVE-2019-5018 CVSS 8.1

  7. 7
    Brotli (libbrotlidec / libbrotlienc)

    Node zlib, Bun, Python brotli, PHP 8.2–8.5 Windows 빌드에 포함된 C 디코더 – 모든 생태계에 걸친 CVE-2026-111497 Node2Shell/HTTP2Shell 원격 코드 실행

    출처 ↗
  8. 8
    libpng

    PHP GD, Python Pillow, .NET System.Drawing의 PNG 디코더 – 2025년 10월 묶음 CVE-2025-64505/64506/64720/65018/66293에서 CVE 5건, 힙 오버플로

    출처 ↗
  9. 9
    libjpeg-turbo

    PHP GD, Python Pillow, Node sharp의 JPEG 코덱 – tjLoadImage에서 BMP pitchheight를 통한 정수 오버플로 힙 오버플로 CVE-2018-20330

  10. 10
    Expat (libexpat)

    Python xml.parsers.expat, Node xml2js, PHP XML의 XML 파서 – CVE-2022-40674 해제 후 사용, CVE-2023-52426 등, RSS/Atom 피드를 구동합니다

🇺🇸 Grok10개 순위 · 메모 1개

같은 질문에 Grok 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    OpenSSL

    거의 모든 HTTPS 연결 뒤의 암호 일꾼입니다. 추적된 CVE 110건 이상이며, 2026년에도 심각한 메모리 문제가 꾸준히 나옵니다.

  2. 2
    zlib

    거의 모든 언어 런타임과 웹 서버에 연결되어 있습니다. 수십 년간의 감사에도 2022년과 2026년을 포함해 치명적 힙 오버플로가 여러 건 나왔습니다.

  3. 3
    libcurl

    PHP, Python, 많은 Node 추가 기능, 수많은 백엔드에 내장된 HTTP 클라이언트 라이브러리입니다. 메모리 안전 CVE가 끊임없이 나오며, 2026년에는 일부가 높은 심각도에 이르렀습니다.

  4. 4
    libxml2

    PHP, Python, 많은 Java 및 Ruby 스택의 XML 파싱 핵심입니다. 해제 후 사용과 버퍼 문제가 꾸준히 나오며, CVSS 7–9 점수를 자주 받습니다.

  5. 5
    Brotli (libbrotli)

    2026년 10월 26일 Windows PHP를 긴급 재빌드하게 만든 바로 그 라이브러리입니다. 치명적 디코더 범위 밖 쓰기 하나가 Node, Python, .NET, PHP로 번졌습니다.

    출처 ↗
  6. 6
    libpng

    PNG를 제공하거나 처리하는 거의 모든 웹 런타임에 여전히 필요한 이미지 디코더입니다. 버퍼 오버플로 이력이 있지만, 위의 파서들보다 적은 규모로 이어집니다.

    출처 ↗
  7. 7
    SQLite

    거의 모든 언어 런타임과 많은 웹 프레임워크에 들어 있습니다. 메모리 안전 문제는 네트워크 파서보다 드물지만 여전히 나타나며, 나타나면 영향이 큽니다.

  8. 8
    libjpeg / libjpeg-turbo

    거의 모든 이미지 처리 웹 스택에 있는 JPEG 디코딩 경로입니다. 주기적인 치명적 오버플로 때문에 감시 대상에 남아 있습니다.

  9. 9
    Expat (libexpat)

    많은 C 기반 및 언어 확장 스택에서 여전히 쓰이는 경량 XML 파서입니다. libxml2보다 공격면은 작지만 메모리 손상에서 자유롭지 않습니다.

  10. 10
    PCRE / PCRE2

    PHP, Nginx, 많은 언어 런타임에 들어 있는 정규식 엔진입니다. 복잡한 매칭 로직이 수년간 여러 높은 심각도 메모리 문제를 낳았습니다.

Grok의 발견

OpenSSL, zlib, libcurl은 지구상에서 가장 널리 배포된 소프트웨어 구성 요소 세 가지에 속합니다. 이들의 누적 CVE 이력은 성능이 중요한 C 코드가 '메모리 안전' 언어 생태계 안에서도 여전히 주된 잔여 위험이라는 것을 보여 줍니다.

🇺🇸 Gemini10개 순위 · 메모 1개

같은 질문에 Gemini 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    OpenSSL (libcrypto / libssl)

    HTTPS 서버의 80% 이상에서 TLS 트래픽을 보호하지만, 2014년 경계 검사 하나가 빠지면서 웹 전체의 개인 메모리가 새어 나갔습니다.

  2. 2
    zlib (libz)

    Node.js, Python, PHP 런타임에 조용히 링크되어, HTTP 서버 응답의 47.1%가 30년 된 메모리 모델에 의존합니다.

  3. 3
    cURL (libcurl)

    매일 수십억 건의 자동 백엔드 API 호출을 처리하지만, 2023년 SOCKS5 힙 오버플로 하나가 현대 마이크로서비스를 원격 탈취에 노출했습니다.

    출처 ↗
  4. 4
    libxml2

    Python lxml, Ruby Nokogiri, PHP DOM 뒤에서 믿을 수 없는 문서를 파싱하며, 그 과정에서 메모리 안전 결함이 100건 넘게 쌓였습니다.

  5. 5
    PCRE / PCRE2

    Nginx 재작성 규칙과 PHP의 preg 엔진에서 정규식을 실행하며, 중첩 재귀 패턴이 범위 밖 힙 쓰기를 자주 일으킵니다.

  6. 6
    glibc

    모든 표준 Linux 웹 컨테이너의 시스템 호출 최하위 계층을 이루며, ld.so의 동적 링커 오버플로로 인증 없는 로컬 root 권한이 생겼습니다.

  7. 7
    SQLite (libsqlite3)

    PHP PDO, Python sqlite3, Node.js 런타임 안에 완전한 SQL 엔진이 들어 있으며, 조작된 가상 테이블을 통해 메모리 손상 경로를 만듭니다.

  8. 8
    ICU (libicu)

    Node.js와 PHP intl 모듈에서 유니코드 정렬을 관리하며, 파싱 테이블이 너무 복잡해 정수 오버플로가 임의 코드 실행으로 이어집니다.

  9. 9
    Brotli (libbrotli)

    빠른 스트림 디코딩을 위해 PHP와 Node.js에 기본 내장되어 있으며, 2026년 10월 범위 밖 쓰기로 여러 버전의 바이너리를 긴급히 다시 빌드해야 했습니다.

    출처 ↗
  10. 10
    ImageMagick (libMagickCore)

    사용자 아바타와 미디어 업로드를 오래된 C 디코더에 맡기며, 반복적인 메모리 손상과 원격 명령 주입 사고를 일으켰습니다.

    출처 ↗

Gemini의 발견

고수준 서버 언어는 애플리케이션 코드의 메모리 안전을 제공하지만, 바이트 파싱을 기초 C/C++ 라이브러리에 맡기면 원격 코드 실행 취약점의 80% 이상이 언어 런타임 경계 아래에서 발생합니다.

🇺🇸 Nova5개 순위 · 메모 2개

같은 질문에 Nova 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    Zstandard (Zstd)

    200–400 MB/s로 압축을 풀고 2.5–3.5배 압축률을 내지만, 2026년 스트림 검증 결함으로 서비스 중단 위험이 커졌습니다.

    출처 ↗
  2. 2
    Brotli

    PHP 8.2 이상에서 쓰이는 구글의 4–5배 압축기입니다. 하지만 CVE-2026-111497이 압축 해제를 원격 코드 실행 경로로 바꿨습니다.

  3. 3
    Gzip (DEFLATE)

    웹의 원래 압축기로, 여전히 HTTP 트래픽의 80%를 1.5–2배 압축률로 처리하지만, 과거 zlib 결함에 시달려 왔습니다.

    출처 ↗
  4. 4
    LZ4

    500 MB/s 이상으로 가장 빠른 압축 해제기지만 압축률은 1.5–2배에 그칩니다. 단순한 구조 덕분에 Brotli/Zstd에서 보이는 복잡한 취약점을 피합니다.

    출처 ↗
  5. 5
    Zlib (gzip/deflate)

    Gzip의 핵심 라이브러리로, 과거 버퍼 과다 읽기 결함(CVE-2022-37434)이 있었지만 레거시 시스템에는 여전히 가장 안전한 선택입니다.

Nova의 발견

LZ4는 CVE가 0건이고 512 MB/s로 압축을 풀어 가장 안전한 고성능 선택이지만, 1.6배 압축률은 대역폭 절감을 제한합니다.

Zstd는 속도(321 MB/s)와 압축률(2.87배)의 가장 좋은 균형을 보이지만, 2026년 서비스 중단 결함은 최신 알고리즘도 가장자리 사례 공격에서 자유롭지 않다는 것을 보여 줍니다.

🇨🇳 StepFun10개 순위 · 메모 1개

같은 질문에 StepFun 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    OpenSSL (libssl / libcrypto)

    기록된 CVE 330건, 2026년 1월 권고문 하나가 12건을 한꺼번에 내놓았습니다. 웹의 모든 HTTPS 핸드셰이크가 이것을 거칩니다.

    출처 ↗
  2. 2
    zlib (libz)

    CVE 19건, 그리고 1.2.12까지 기본 HTTP gzip 경로에 남아 있던 inflate() 힙 오버플로입니다.

  3. 3
    libcurl

    PHP, Python, Ruby가 모두 탑재하며, NVD에서 9.8을 받은 SOCKS5 힙 오버플로가 있습니다.

    출처 ↗
  4. 4
    libxml2

    CVE 116건, 그리고 PHP와 Swift에 동시에 번진 정수 오버플로 하나입니다.

    출처 ↗
  5. 5
    PCRE2

    PHP의 preg_*와 nginx의 location 블록은 C로 된 정규식입니다. PCRE2 제품에만 CVE 19건, 더 넓은 PCRE 계열에서는 66건입니다.

    출처 ↗
  6. 6
    SQLite3

    CVE 카운터에 87건이 있습니다. 그리고 관리자 페이지에는 그중 대부분은 당신에게 해당하지 않는다는 설명이 있습니다.

  7. 7
    Brotli (구글의 C 디코더)

    이 목록에서 가장 새로운 항목이며, 같은 순간 Node.js, Bun, PHP, Python에 걸쳐 번들된 디코더에 원격 코드 실행 버그가 생긴 유일한 항목입니다.

  8. 8
    libexpat

    Python 표준 라이브러리와 많은 C++ 서비스가 링크하는 스트리밍 XML 파서에서 CVE 70건이 나왔습니다.

  9. 9
    libjpeg-turbo

    웹의 모든 업로드 아바타는 CVE 17건이 쌓인 C JPEG 디코더를 거칩니다.

  10. 10
    glibc

    Linux의 모든 PHP, Node.js, Python, Ruby, .NET 프로세스 밑바닥을 이룹니다. 같은 검색으로 한 미러에서는 CVE 168건, 다른 미러에서는 13건이 나옵니다.

StepFun의 발견

curl은 측정이 엇갈리는 가장 뚜렷한 사례입니다. 프로젝트는 역사상 보안 수정 146건을 집계하고, 작성자는 2021년 이후 발행된 HIGH 심각도 CVE가 두 건뿐이라고 밝힙니다. 반면 독립 분석 도구 AISLE은 최첨단 AI 시스템이 완전히 놓친 추가 CVE 여섯 건을 찾아냈습니다.

🇨🇳 Kimi10개 순위 · 메모 1개

같은 질문에 Kimi 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    OpenSSL

    웹 암호화 트래픽의 약 90%를 감싸는 C 라이브러리 하나이며, 2002년부터 2026년까지 CVE 권고가 끊기지 않고 이어집니다.

  2. 2
    zlib

    PHP, Node, Python, curl에 들어 있고, OpenSSL 자체에도 링크되어 있습니다. 가장 나쁜 inflate() 버그는 9.8점을 받았습니다.

  3. 3
    libcurl

    PHP curl 확장 뒤의 HTTP 클라이언트는 설치할 때마다 C 라이브러리 다섯 개를 더 끌고 오며, 자체 CVE도 계속 내놓습니다.

    출처 ↗
  4. 4
    libxml2

    PHP의 XML 파서는 2025년 업데이트 하나에서만 메모리 손상 CVE 다섯 건을 흡수했습니다. 해제 후 사용, 타입 혼동, 스택 오버플로가 포함됩니다.

  5. 5
    libexpat

    Python과 수많은 도구 안의 SAX 파서는 2026년 6월 릴리스 하나에서 취약점 14건을 고쳤습니다.

  6. 6
    nghttp2

    HTTP/2의 참조 C 구현으로, curl과 PHP가 링크합니다. Rapid Reset과 CONTINUATION 플러드 CVE 유형을 맡고 있습니다.

    출처 ↗
  7. 7
    PCRE2

    모든 PHP preg_* 호출은 이 C 정규식 엔진을 실행합니다. 이 엔진의 JIT 컴파일러는 조작된 패턴을 CVSS 9.1 범위 밖 읽기로 바꿨습니다.

    출처 ↗
  8. 8
    SQLite

    PHP, Python, 모든 브라우저 안에 있습니다. 2026년 이 라이브러리에 제기된 '치명적' CVE들은 AI가 대량으로 만든 허위 보고로 반박되었을 만큼 깨끗합니다.

  9. 9
    Brotli (libbrotli)

    이 목록에서 가장 젊은 라이브러리인데 이미 인증 없는 원격 코드 실행이 살아 있습니다. 바로 '인그레스 압축 해제' 패턴이며, 앞의 맥락 이야기 그대로입니다.

  10. 10
    GnuTLS

    RHEL 계열의 기본 TLS입니다. 프로젝트 제로가 찾은 인증서 검증의 이중 해제가 이 라이브러리의 대표 버그 유형입니다.

Kimi의 발견

CVE 세기 자체가 측정 수단으로 퇴색하고 있습니다. NVD는 2025년 공개 44,509건 속에서 선별 보강 방식으로 바뀌었고(2020년 이후 건수 263% 증가), 2026년에는 조작된 SQLite CVE가 9.8–10.0점을 받았다가 허위로 판명되었습니다.

🇨🇳 DeepSeek10개 순위

같은 질문에 DeepSeek 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    OpenSSL 2026

    CVE 296건, 그중 40건이 9.0 이상, 27건이 7.0–8.9 구간입니다. 이만큼 배포 범위가 넓으면서 원격 메모리 손상 이력이 이만큼 밀집된 공유 C 라이브러리는 없습니다.

  2. 2
    zlib 2026

    2002년 이후 CVE 19건, 공개 익스플로잇 9건, inflate의 CVSS 9.8 힙 오버플로가 있습니다. gzip, PNG, 수많은 HTTP 스택 뒤의 압축 해제기입니다.

  3. 3
    libxml2 2026

    추적된 CVE 133건입니다. 메모리 손상 결함이 대부분의 운영체제 커널보다 많이 문서화된 XML 파서이며, PHP, Python, Ruby 런타임에 조용히 적재됩니다.

  4. 4
    libcurl 2026

    보편적 HTTP 클라이언트입니다. 2026년 6월 릴리스 하나에서 CVE 18건을 고쳤고, 25년 된 메모리 버그도 포함됩니다. PHP, Node.js, Python 런타임에 들어 있습니다.

  5. 5
    glibc 2026

    GNU C Library에서 CVE 162건이 나왔습니다. 가장 깊은 공유 의존성이며, setuid 프로그램에서 닿을 수 있는 ld.so의 스택 버퍼 오버플로도 포함됩니다.

  6. 6
    libpng 2026

    웹 런타임을 지나가는 모든 PNG 이미지는 libpng를 거칩니다. 2026년에만 힙 기반 버퍼 오버플로와 청크 처리의 해제 후 사용이 나왔습니다.

    출처 ↗
  7. 7
    libjpeg-turbo 2026

    거의 모든 웹 JPEG를 디코딩하는 라이브러리에서 CVE 17건이 나왔습니다. 2026년 병합 업샘플링의 힙 기반 버퍼 오버플로는 이미지 디코딩 공격면이 아직 살아 있음을 보여 줍니다.

    출처 ↗
  8. 8
    PCRE2 2026

    PHP와 많은 웹 서버 안의 정규식 엔진입니다. 2026년에는 정수 오버플로로 인한 범위 밖 쓰기와 pcre2_jit_match의 JIT 메모리 손상 결함이 나왔습니다.

    출처 ↗
  9. 9
    SQLite 2026

    PHP와 모바일·웹 런타임의 기본 데이터베이스입니다. 조작된 FTS5 페이지가 전문 검색 엔진에서 범위 밖 읽기와 힙 버퍼 오버플로를 일으킬 수 있습니다.

  10. 10
    nghttp2 2026

    curl, Node.js, 많은 리버스 프록시 뒤의 C HTTP/2 스택입니다. 잘못된 프레임 처리로 2026년 원격 서비스 중단과 상태 검증 CVE가 나왔습니다.

    출처 ↗
🇨🇳 Wenxin10개 순위

같은 질문에 Wenxin 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    zlib

    기본 DEFLATE 구현으로 모든 웹 서버와 런타임의 99%에 배포되어 있으며, 20년 공개 사용 동안 CVSS 8.0 이상 메모리 결함이 12건 넘게 문서화되었습니다.

  2. 2
    PHP 핵심 런타임 (C 구현)

    웹 서버에서 전 세계 웹사이트의 70%를 구동하며, 2026년 10월 한 달 동안만 인증 없이 원격 실행되는 CVSS 9.0 이상 메모리 손상 결함 세 건이 새로 공개되었습니다.

  3. 3
    OpenSSL

    모든 HTTPS 웹 서버의 98%가 쓰는 TLS 종료 라이브러리입니다. 2014년 하트블리드(CWE-125 범위 밖 읽기)를 포함해 치명적인 원격 메모리 결함이 길게 이어졌습니다.

  4. 4
    libc (glibc)

    모든 Linux 웹 런타임이 의존하는 시스템 C 표준 라이브러리입니다. 인증 없이 원격 코드 실행을 허용한 2016년 Ghost(CVE-2015-0235) 같은 치명적 결함을 품고 있습니다.

  5. 5
    libbrotli

    .NET, Node.js, Apache 웹 서버에 번들된 Brotli 디코더 라이브러리입니다. 원격 코드 실행 PoC(CVE-2026-111497)가 2026년 10월 27일 하루 전 깃허브에 공개되었습니다.

    출처 ↗
  6. 6
    libcurl

    발신 HTTP 요청을 하는 거의 모든 서버 측 런타임에 번들된 URL 전송 라이브러리입니다. 이 라이브러리의 역사에는 CVSS 8.0 이상 메모리 손상 결함 27건이 문서화되어 있습니다.

    출처 ↗
  7. 7
    SQLite

    PHP, Python, Node.js, Ruby에 미리 번들된 임베디드 데이터베이스 라이브러리입니다. 믿을 수 없는 SQL 입력을 처리할 때 원격 파싱 메모리 결함이 꾸준히 나왔습니다.

  8. 8
    libxml2

    거의 모든 서버 측 웹 프레임워크가 쓰는 XML 파싱 라이브러리입니다. 믿을 수 없는 XML을 처리하면서 원격 외부 개체 주입(XXE)과 버퍼 오버플로 결함을 수십 건 일으켰습니다.

  9. 9
    zstd (libzstd)

    2026년 Nginx, Node.js 22 이상, 최신 웹 런타임에 포함된 새 세대 빠른 압축 라이브러리입니다. 코드베이스가 젊어서 지금까지 치명적 CVE는 3건뿐입니다.

    출처 ↗
  10. 10
    libpng

    사용자가 올린 이미지를 다루는 모든 백엔드 언어에 번들된 PNG 디코딩 라이브러리입니다. 1995년 첫 릴리스 이후 공개 문서화된 치명적 버퍼 오버플로 결함이 18건 있습니다.

    출처 ↗
🇨🇳 Qwen10개 순위 · 메모 1개

같은 질문에 Qwen 혼자 답한 결과입니다. 위의 최종 목록은 모든 AI를 종합합니다.

  1. 1
    zlib

    인터넷의 보이지 않는 폐입니다. 웹 트래픽의 90%를 압축하면서, 메모리 손상 CVE를 몇 년에 한 번씩 조용히 떨어뜨립니다.

    출처 ↗
  2. 2
    OpenSSL (libssl)

    웹을 보호하는 암호 기반이지만, 방대한 C 코드베이스는 하트블리드 같은 치명적 힙 손상의 끊임없는 표적입니다.

    출처 ↗
  3. 3
    libcurl

    백엔드 런타임의 보편적 데이터 전송 엔진으로, 최근 HTTP/2 스트림 의존 상태를 처리하면서 위험한 해제 후 사용 로직이 발견되었습니다.

    출처 ↗
  4. 4
    libxml2

    신뢰할 수 없는 SOAP와 XML 데이터를 처리하는 파서로, 2026년 10월 스트림 래퍼의 힙 버퍼 오버플로인 PHP2Shell을 일으켰습니다.

    출처 ↗
  5. 5
    libuv

    Node.js의 비동기 심장부로, 스레드 풀과 파일 I/O를 관리하며, 가끔 C 수준 메모리 관리의 경쟁 상태에 걸려 넘어집니다.

    출처 ↗
  6. 6
    libsqlite3

    세계에서 가장 많이 배포된 데이터베이스 엔진으로, 웹 프레임워크 안에서 메모리 안전 경계 없이 복잡한 SQL 상태 기계를 조용히 실행합니다.

    출처 ↗
  7. 7
    libpng

    픽셀 헤더를 무조건 믿는 이미지 디코더로, 조작된 업로드 파일 하나로 대규모 힙 손상이 생긴 전례가 있습니다.

    출처 ↗
  8. 8
    libjpeg

    이산 코사인 변환을 메모리 버퍼로 옮기며, 이 라이브러리는 믿을 수 없는 이미지 헤더의 정수 래핑을 수십 년 겪어 왔습니다.

    출처 ↗
  9. 9
    libicu

    C로 된 유니코드 정렬의 방대한 복잡성을 관리하며, 조작된 국제 문자열을 파싱할 때 가끔 깊은 버퍼 오버플로를 드러냅니다.

    출처 ↗
  10. 10
    PCRE (Perl 호환 정규 표현식)

    C로 재귀 정규식 패턴을 평가하면, 악의적으로 만든 검색 문자열에 치명적인 역추적과 스택 오버플로가 생깁니다.

    출처 ↗

Qwen의 발견

2026년 10월 PHP 긴급 패치는 메모리 안전 언어인 PHP도 믿을 수 없는 네트워크 바이트 파싱을 Brotli나 libxml2 같은 관리되지 않는 네이티브 C 라이브러리에 맡긴다는 점을 보여 줍니다. 그래서 체계적인 마찰이 생깁니다.