취약점 공개의 역설: 왜 더 빠른 패치가 AI가 생성하는 공격을 따라잡을 수 없는가?

수십 년 동안 패치 관리는 단 하나의 가정에 기반을 두고 있었습니다. 바로 충분히 빠르게 대응하면 공격자를 이길 수 있다는 것이었습니다. 맨디언트의 M-Trends 2026 보고서는 인종 차별 시대가 끝났음을 보여줍니다. 현재 평균적으로 취약점은 해결책이 나오기도 전에 7일 만에 악용됩니다.

최근 과거와의 대조는 극명하다. 2018년에는 보안 담당자들이 취약점이 공개된 후 누군가가 이를 악용하기 전에 약 두 달 정도의 시간이 있었습니다. 즉, 공격자가 접근하기 전에 패치를 테스트하고 배포할 수 있는 시간이었습니다. 해당 윈도우는 이제 마이너스로 전환되었습니다.

CrowdStrike의 2026년 글로벌 위협 보고서에서도 이를 뒷받침하는데, 악용된 취약점의 42%가 공개되기 전에 공격을 받았다는 사실을 밝혀냈습니다.

저는 최근 The Segment 팟캐스트 에피소드에서 Numberline Security의 설립자이자 클라우드 보안 연합(Cloud Security Alliance)의 제로 트러스트 워킹 그룹 공동 의장인 제이슨 가비스와 함께 이러한 연구 결과에 대해 논의했습니다.  

취약점이 공개되면 공격자들은 더 이상 그 결함을 찾아다닐 필요가 없다고 그는 주장했다. 정보 공개 자체가 그들에게 청사진을 제공하며, 공개된 보안 권고 사항을 바탕으로 취약점을 찾아내는 것은 처음부터 취약점을 찾아내는 것보다 훨씬 적은 노력이 필요합니다.  

이러한 변화 때문에 보안 업계가 오랫동안 패치 속도에만 집착해 온 것은 잘못된 목표를 쫓는 것과 마찬가지입니다. 이 새로운 일정 속에서도 살아남는 팀들은 한 가지 공통점을 가지고 있습니다. 그들은 정보 공개와 패치 사이에 어딘가에서 보안 침해가 발생할 것이라고 예상하고 있으며, 침해 범위가 얼마나 넓어질 수 있는지 이미 제한해 두었습니다.

패치 권고 사항이 공격자의 설계도가 될 때

모든 책임 있는 정보 공개 절차는 타당한 이유로 존재합니다.  

판매자는 고객이 문제를 해결할 수 있도록 무엇이 잘못되었는지 알려줘야 하며, 규제 기관도 이를 점점 더 요구하고 있습니다. 하지만 이제 그러한 투명성은 양방향으로 작용합니다.  

CVE가 공개되는 순간, 공격자들은 더 이상 미스터리를 파헤치기 위해 역설계를 할 필요가 없습니다. 그들은 안내문을 읽기만 하면 됩니다. 그런 다음 패치된 코드와 취약한 버전을 비교합니다. 그 차이점을 이용해 그들은 효과적인 익스플로잇을 만들 수 있습니다.

클라우드 보안 연합의 AI 안전 이니셔티브 연구에 따르면 이 프로세스가 이미 얼마나 자동화되었는지 알 수 있습니다. 공개된 취약점을 재현하도록 구축된 다중 에이전트 AI 시스템은 지난 2년 동안 발표된 모든 CVE의 약 절반을 재현했으며, 그중 상당수는 작동하는 익스플로잇까지 포함하고 있으며, 시도당 평균 비용은 3달러 미만입니다.  

과거에는 숙련된 역설계 전문가와 며칠간의 조용한 노력이 필요했던 일이 이제는 푼돈으로 가능해졌습니다. 안내문을 두 번 읽는 데 걸리는 시간과 거의 같습니다.

이것이 바로 제이슨과 제가 팟캐스트에서 논의했던 메커니즘입니다. 최첨단 AI 모델에 접근 권한을 가진 공격자가 코드 저장소를 스캔하여 발견되지 않은 결함을 찾아내는 것은 실질적인 위험입니다. 

하지만 더 시급한 위협은 더 간단합니다. 공격자들은 취약점 공개를 기다렸다가, 방어자들이 패치를 검증하고 배포하기 전에 재빨리 익스플로잇을 구축합니다.  

정보 공개는 조용히 정찰 활동으로 변질되었고, 대부분의 패치 관리 프로그램은 이러한 변화에 대비하여 설계되지 않았습니다.

미소스 패치 이후의 쓰나미

제이슨은 가까운 미래에 일어날 일이라고 생각하는 현상을 '패치 쓰나미'라고 부르는 기발한 표현을 생각해냈다.

Frontier AI 모델은 이제 대부분의 팀이 경험해 보지 못한 규모와 속도로 취약점을 발견하고 보안 업데이트를 요구하고 있습니다. 미소스급 함선 모델 과 글래스윙 프로젝트를 둘러싼 논쟁은 이러한 논의에 더욱 불을 지폈습니다.  

하지만 제이슨의 생각은 초기 과대광고가 마케팅에 얼마나 기인했는지는 중요하지 않다는 것입니다. 이러한 모델들은 결함을 찾아내는 능력이 계속해서 향상되고 있으며, 수비수들은 이러한 발전 속도와 관계없이 그에 대비해야 합니다.

수치가 그의 말을 뒷받침합니다. 시스코 연구원 제리 갬블린이 공식 CVE 데이터를 분석한 결과, 전 세계 CVE 보고 건수는 2025년에 48,000건을 넘어섰으며, 이는 전년 대비 20% 증가한 수치입니다. 상반기 후속 조사에 따르면 증가 추세가 가파르게 나타나고 있습니다. 2026년 상반기에만 35,000건 이상의 CVE(코로나19 관련 사건)가 발생했으며, 이는 작년 같은 기간보다 거의 50% 증가한 수치입니다. 이는 7.4분마다 새로운 CVE가 하나씩 발생한다는 의미입니다.  

상용 소프트웨어 공급업체들은 또한 이전 버전에 대한 지원 기간을 단축하고 있으며, 이는 기업 전반에 걸쳐 더 빠른 업그레이드 주기를 강요하고 있습니다.  

오픈소스 라이브러리 또한 점점 더 많은 사람들에게 알려지고 있는 원천이 되고 있습니다. 제이슨은 상용 소프트웨어에 비해 패키징 및 버전 관리 측면에서 훨씬 덜 엄격한 경우가 많다고 지적했습니다. 수많은 맞춤형 기업용 소프트웨어가 이러한 요소에 의존하는데, 때로는 수년 동안 수정되지 않은 채로 사용되는 경우도 많습니다.

제이슨은 정보 보안의 기본 원칙은 변하지 않았다고 주장했다. 업계는 이미 오늘날 직면하고 있는 모든 유형의 공격에 대한 방어 방법을 알고 있습니다.  

달라지는 것은 알려진 위험들이 발생하는 규모와 속도입니다. 이러한 변화는 인공지능이 등장하기 전에도 그 속도에 맞춰 나갈 역량을 갖추지 못했던 팀들의 약점을 드러내고 있습니다.

침해가 얼마나 확산될 수 있는지가 중요한 지표입니다.

패치 속도만으로는 취약점 악용까지의 시간을 앞지를 수 없다면, 보안 책임자들은 다른 측정 기준을 찾아야 합니다. 진짜 문제는 공격자가 일단 침입에 성공하면 네트워크의 어느 부분까지 접근할 수 있느냐는 것입니다.  

제이슨은 자신의 컨설팅 업무에서 얻은 구체적인 사례를 제시했다. 5,000명의 직원과 기기가 직접 접속할 수 있는 평면형 기업 네트워크에서 실행되는 금융 애플리케이션을 상상해 보세요. 이제 그 동일한 애플리케이션이 실제로 금융업계에 종사하는 약 200명에게만 적용된다고 상상해 보세요. 

어쨌든 해당 취약점은 패치가 필요합니다. 하지만 그 땅이 펼쳐지기 전에 그 땅을 이용할 수 있었던 인구는 95% 이상 줄어들었습니다.

세분화를 기본 제어 요소로 취급하는 경우가 바로 그렇습니다. 이는 패치 작업의 필요성을 없애거나 첫날부터 완벽하고 세부적인 정책을 요구하지 않는다는 것을 의미하지는 않습니다. 가장 가치 있는 시스템을 중심으로 하는 세분화된 접근 방식도 여전히 이점을 제공합니다.  

적절한 세분화가 이루어지면, 심각한 재앙으로 이어질 수 있었던 취약점이 팀에서 오후 시간 안에 처리할 수 있는 작은 사고로 바뀔 수 있습니다.

지침 자체는 수년간 일관되게 유지되어 왔습니다. 달라진 점은 이를 무시했을 때 발생하는 비용이 커졌다는 것입니다. 새로운 취약점이 얼마나 빠르게 실제 악용 사례로 이어질 수 있는지를 고려해야 하기 때문입니다.

다음 공시 주기 전에 꼭 해야 할 세 가지

제이슨과의 대화에서 몇 가지 구체적인 조치가 도출되었습니다. 모든 보안 책임자들이 이러한 사항들을 현재 로드맵과 비교하여 고려해 보기를 권장합니다.

현재 진행 중인 업무와 해당 업무에 접근해야 할 사람들을 정확하게 파악하세요.

제이슨은 이 점에 대해 매우 단호했다. 세분화 기술은 워크로드와 해당 워크로드에 액세스해야 하는 사용자 ID에 대한 정확하고 기계 판독 가능한 데이터가 제공될 때만 가치를 발휘합니다. 이 단계를 건너뛰는 것은 서류상으로는 좋아 보이지만 실제 운영에서는 제대로 작동하지 않는 정책을 만드는 가장 빠른 방법입니다.

가장 가치 있는 시스템들을 지금 바로 분류하세요. 대략적인 분류라도 괜찮습니다.

완벽하고 모든 것이 명확하게 계획된 정책을 기다린 후 행동하는 것은 제이슨이 직접적으로 경고했던 분석 마비 현상과 같습니다. 핵심 자산에 대한 대략적인 첫 번째 검토가, 완벽하게 문서화되었지만 실행되지 않는 계획보다 훨씬 낫습니다.

기존 시스템에 새로 고침 타이머를 설정하세요.

제이슨은 모든 새로운 시스템이 처음부터 최신 거버넌스 규정을 준수하도록 요구해야 한다고 권고합니다. 모든 기존 시스템은 12~18개월마다 의무적으로 재구축 또는 검토 주기를 거쳐야 합니다. 업무를 일정에 걸쳐 분산시키면 어떤 팀도 처리하지 못하고 묵혀두는 상황을 방지할 수 있습니다.

조치를 취해야 할 시기는 다음 정보 공개 이전이지, 이후가 아닙니다.

지난 6월, 사이버보안 및 인프라 보안국(CISA)은 이러한 변화를 공식 정책으로 채택했습니다. 구속력 있는 운영 지침 26-04에 따라 연방 기관은 가장 위험한 취약점(공개적으로 노출되고, 활발히 악용되고 있으며, 자동화 가능한 취약점)을 기존 2주 기준에서 3일 이내에 해결해야 합니다. CISA는 인공지능(AI)을 직접적인 이유로 들면서, AI가 공격자와 방어자 모두에게 취약점 발견 속도를 크게 높이고 있다고 지적했습니다.

이 지침은 연방 기관에만 구속력이 있지만, CISA는 민간 부문에서도 동일한 접근 방식을 채택하도록 권장합니다. 업계의 응답 시간에 대한 기본 기대치는 이미 완전히 바뀌었습니다.

다행인 점은 이 모든 것을 위해 보안 프로그램을 처음부터 다시 만들 필요가 없다는 것입니다. 이는 정보 공개와 패치 사이에 보안 침해가 발생하는 것이 이제 계획을 세워야 할 시나리오라는 점을 받아들여야 함을 의미합니다. 또한 가장 중요한 시스템을 중심으로 보안을 세분화해야 합니다. 그래야 침해 사고가 발생하더라도 큰 뉴스거리가 되는 대신, 복구에 얼마 걸리지 않도록 할 수 있습니다.  

현재의 위협 환경과 차세대 모델 출시와 함께 등장할 위협 사이에 아직 격차가 있는 지금, 이 문제를 시급하게 다루는 팀들이야말로 1년 후에도 좋은 성과를 낼 수 있을 것입니다. 더 깨끗한 순간을 기다리는 것은 데이터가 더 이상 뒷받침하지 않는 도박입니다.

The Segment: A Zero Trust Leadership Podcast 의 전체 에피소드를 들어보세요. Apple 팟캐스트,  Spotify또는 당사 웹사이트.