AI 취약점 검출 급증에 수정 작업 압박, 대책은 개발 단계로
2026-08-16
개발 단계 진단이 초점
소프트웨어에서 새로 발견된 취약점은 2026년 1~6월 6개월 동안 3만6000건에 달했다. 미국 신흥 기업 앤트로픽의 '클로드 미토스' 같은 첨단 AI(인공지능)의 등장으로 검출 건수가 늘면서, 인력에 의한 수정이 따라가지 못할 위험이 커지고 있다.
취약점은 소프트웨어를 움직이는 코드에 숨어 있는 결함이나 실수로 인해 본래 의도되지 않은 동작을 일으킬 수 있는 상태를 뜻한다. 작동 중단이나 무단 침입 외에도 SQL 인젝션에 따른 정보 유출, 버퍼 오버플로를 악용한 오작동 등으로 이어질 수 있다. 전 세계에서 공표된 취약점을 모은 데이터베이스 'CVE'의 신규 등록 건수는 2025년에 약 4만8000건으로, 2022년 대비 1.9배가 됐다. 2026년은 6월까지 이미 약 3만6000건에 도달했다.
공격과 방어의 비대칭성
앤트로픽은 미토스에서 대량의 취약점을 찾아냈다고 밝히고 있어, AI 성능 향상이 검출 증가의 한 요인으로 보인다. 미공개 취약점은 '제로데이'로 불리며, 첨단 AI는 오랫동안 놓쳐져 온 것까지 찾아낸다. 다만 수정에는 제한된 인력과 예산 속에서 신중한 검증이 필요하다. 취약점 분석을 맡는 미국 국립표준기술연구소(NIST)도 대응을 긴급성이 높은 사안으로 좁히겠다는 방침을 제시하고 있다.
PwC컨설팅의 무라카미 준이치 파트너는 유럽과 영국의 사이버보안 기관, 일본 총무성이 공표하는 가이드라인은 모두 AI에 의한 취약점의 자율적 수정을 전제로 하지 않는다고 지적한다. 2024년에는 미국 크라우드스트라이크의 보안 소프트웨어 업데이트로 미국 마이크로소프트의 기본 소프트웨어 '윈도우즈'에서 대규모 장애가 발생했다. 공격 측은 AI가 찾아낸 취약점을 마구잡이로 악용할 수 있는 반면, 방어 측은 전문가의 확인을 거쳐 수정해야 하므로 AI를 둘러싼 사이버 공방은 공격 측에 유리한 비대칭 전쟁이 되기 쉽다.
제공 전 진단의 중요성
기업과 조직에 유효한 활용법은 개발 중이나 제공 전의 취약점 진단이다. 기존에는 소프트웨어를 빨리 공개하고 문제가 있으면 공개 후에 업데이트하는 생각이 일반적이었지만, AI를 쓰면 저비용으로 취약점을 줄일 가능성이 있다. 앞으로는 발주자가 계약으로 제공 전 진단을 요구하는 장면도 예상된다.
공개 후 발견된 취약점을 AI에 자율적으로 수정하게 하는 것은 위험이 높지만, 전문가의 작업을 보조하는 용도는 생각할 수 있다. 수정에 걸리는 시간을 단축하고, 제한된 인력으로 대응을 돌리는 것이 중요해진다. 다만 취약점을 완전히 없애기는 어렵다. 일반사단법인 소프트웨어협회(도쿄 미나토구)는 7월 취약점 대응을 위해 가동 중인 시스템이나 서비스 제공을 멈출 수밖에 없는 상황이 있다고 하는 제언을 공표했다. 앞으로는 서비스 중단이나 대체 서비스로의 전환이 늘어날 가능성이 있다.
공격과 방어의 비대칭성
앤트로픽은 미토스에서 대량의 취약점을 찾아냈다고 밝히고 있어, AI 성능 향상이 검출 증가의 한 요인으로 보인다. 미공개 취약점은 '제로데이'로 불리며, 첨단 AI는 오랫동안 놓쳐져 온 것까지 찾아낸다. 다만 수정에는 제한된 인력과 예산 속에서 신중한 검증이 필요하다. 취약점 분석을 맡는 미국 국립표준기술연구소(NIST)도 대응을 긴급성이 높은 사안으로 좁히겠다는 방침을 제시하고 있다.
PwC컨설팅의 무라카미 준이치 파트너는 유럽과 영국의 사이버보안 기관, 일본 총무성이 공표하는 가이드라인은 모두 AI에 의한 취약점의 자율적 수정을 전제로 하지 않는다고 지적한다. 2024년에는 미국 크라우드스트라이크의 보안 소프트웨어 업데이트로 미국 마이크로소프트의 기본 소프트웨어 '윈도우즈'에서 대규모 장애가 발생했다. 공격 측은 AI가 찾아낸 취약점을 마구잡이로 악용할 수 있는 반면, 방어 측은 전문가의 확인을 거쳐 수정해야 하므로 AI를 둘러싼 사이버 공방은 공격 측에 유리한 비대칭 전쟁이 되기 쉽다.
제공 전 진단의 중요성
기업과 조직에 유효한 활용법은 개발 중이나 제공 전의 취약점 진단이다. 기존에는 소프트웨어를 빨리 공개하고 문제가 있으면 공개 후에 업데이트하는 생각이 일반적이었지만, AI를 쓰면 저비용으로 취약점을 줄일 가능성이 있다. 앞으로는 발주자가 계약으로 제공 전 진단을 요구하는 장면도 예상된다.
공개 후 발견된 취약점을 AI에 자율적으로 수정하게 하는 것은 위험이 높지만, 전문가의 작업을 보조하는 용도는 생각할 수 있다. 수정에 걸리는 시간을 단축하고, 제한된 인력으로 대응을 돌리는 것이 중요해진다. 다만 취약점을 완전히 없애기는 어렵다. 일반사단법인 소프트웨어협회(도쿄 미나토구)는 7월 취약점 대응을 위해 가동 중인 시스템이나 서비스 제공을 멈출 수밖에 없는 상황이 있다고 하는 제언을 공표했다. 앞으로는 서비스 중단이나 대체 서비스로의 전환이 늘어날 가능성이 있다.
이 글이 도움이 되셨다면 공유해 주세요.