AI 보안에는 제2의 의견이 필요하다

AI가 소프트웨어를 우리가 보안 조치를 적용하는 속도보다 빠르게 작성하고 있습니다. 그 속도를 따라가고 있나요?

이 문장을 다 읽을 때쯤이면 개발자와 AI 에이전트가 코드 변경 사항을 2천 건가량 푸시했을 것입니다. 지난해 같은 시기에는 약 150건이었을 것입니다.

지난 한 해 동안 AI가 생성한 소프트웨어는 놀라운 속도로 증가했습니다. GitHub에 따르면 2026년 9월 한 달에만 커밋이 73억 8천만 건 기록됐으며, 이는 1년 전 같은 기간보다 5배가 넘는 수치입니다. 이러한 폭증이 보안에 미치는 영향은 심각합니다. 이 커밋 하나하나가 누군가 이해하고 유지 관리하며 보안을 지켜야 하는 코드입니다. 클라우드 보안 연합(Cloud Security Alliance)은 포춘 50대 기업에서 AI의 도움을 받는 개발자가 동료보다 3~4배 빠른 속도로 코드를 커밋하는 반면, 월간 보안 발견 사항은 약 10배 증가했다고 밝혔습니다.

이제 늘어난 업무를 누가 떠안게 되는지 생각해 보세요. CISO 팀의 규모는 1년 전과 같지만, 밀린 업무는 그렇지 않습니다. 취약점 제보는 늘고 월간 수정 건수는 줄어드는 가운데, 해결되지 않은 중대 취약점은 증가하고 있습니다. Gartner가 CISO의 번아웃이 중대한 운영 리스크가 되고 있다고 말하는 것도 놀랍지 않습니다.

최신 모델을 선택하고 싶은 유혹

수치가 그렇게 크면 더 많은 발견 사항, 더 넓은 범위, 더 많은 검사처럼 더 큰 수치를 좇고 싶어집니다. 하지만 이는 배가 가라앉는 상황에서 물을 퍼내면서 정작 필요한 것은 누수를 찾는 일인데 더 큰 양동이를 달라고 하는 것과 같습니다. 보안 프로그램은 얼마나 많은 것을 찾아내는지로 평가되지 않습니다. 찾아낸 것 중 실제 문제가 얼마나 되는지, 그리고 가장 중대한 발견 사항 가운데 실제로 수정되는 것이 얼마나 되는지로 평가됩니다.

최첨단 AI 모델은 확률적 추론을 통해 새로운 익스플로잇과 아직 목록에 없는 결함을 찾아내는 데 탁월합니다. 하지만 결과는 일관되지 않습니다. 같은 코드에 동일한 검사를 다섯 번 실행해도 발견 사항이 일치하는 경우는 약 3분의 1에 불과하다고 Checkmarx의 연구는 전합니다.

이러한 일관성 부족 때문에 규칙 기반 분석은 여전히 중요합니다. 최첨단 AI보다 유연성은 떨어지지만, 검증된 논리를 매번 똑같이 적용하므로 팀은 결과를 신뢰하고 검증할 수 있습니다. AI는 규칙이 놓치는 문제를 찾아냅니다. 익숙한 약점이 낯선 형태로 나타나는 경우나, 코드의 서로 다른 부분이 상호작용해야만 악용할 수 있는 결함 등이 여기에 해당합니다. AI와 규칙 기반 분석을 함께 사용하면 오탐은 줄이면서 중요한 문제를 더 많이 찾아낼 수 있습니다.

이 말은 AI에 반대한다는 뜻이 아닙니다. 보안에는 제2의 의견이 필요하다는 뜻입니다. 어떤 엔진을 선택하든 다음 세 가지 질문을 기준으로 평가하세요.

첫 번째 질문: 신뢰도

스캐너가 문제를 발견했다고 알리면, 확인하는 데 시간을 들일 가치가 있나요?

신뢰도는 믿을 수 있는 정도를 뜻합니다. 실제 문제가 아닌 발견 사항 하나 때문에 개발자는 오후 시간을 허비하고, 보안 팀은 신뢰를 조금 더 잃습니다. 규모가 커지면 오탐 때문에 팀은 알림에 귀를 기울이지 않게 됩니다. 알림은 그저 ‘양치기 소년’의 외침처럼 여겨져 배경 소음에 묻힙니다.

일관성이 중요한 이유가 바로 여기에 있습니다. 결정론적 분석은 같은 코드에 대해 매번 동일한 답을 내놓으므로 신뢰를 쌓고 결과를 감사할 수 있게 합니다.

두 번째 질문: 정확도

가장 중요한 문제를 빠짐없이 찾아내고 있나요?

신뢰도는 발견 사항을 확인하는 데 시간을 들일 가치가 있는지 알려 주지만, 스캐너가 무엇을 놓쳤는지는 알려 주지 않습니다. 데이터 과학에서 비롯된 F1 점수를 실무 지표로 사용합니다. F1 점수는 다음 두 가지 요소를 기준으로 1에서 0까지의 척도에서 성능을 평가합니다.

• 정밀도: 보고된 발견 사항 중 실제 문제인 항목의 비율입니다. 정밀도가 높으면 오탐이 줄어듭니다.
• 재현율: 스캐너가 실제로 찾아낸 진짜 취약점의 비율입니다. 재현율이 높으면 놓치는 취약점이 적습니다.

스캐너는 거의 아무것도 표시하지 않아 정밀해 보일 수도 있고, 모든 것을 표시해 꼼꼼해 보일 수도 있지만, 어느 쪽이든 F1 점수는 낮을 수 있습니다. 업계 평균은 약 0.20입니다. 우리는 이 문제를 해결하기 위해 꾸준히 노력해 왔으며, 표준 스캐너보다 정확도가 3~4배 높은 결과를 확인했습니다.

정확도가 높아지면 개발자가 이후에 처리해야 할 모든 일이 한결 수월해집니다. 팀은 검증에 쓰는 시간을 줄이고 수정에 더 많은 시간을 쓸 수 있습니다.

세 번째 질문: 투자수익률(ROI)

투자와 리소스를 어떻게 극대화할 수 있을까요?

파일럿 단계에서는 가장 자주 빠뜨리고, 실제 운영 단계에서는 가장 뼈아프게 답하게 되는 질문입니다.

최첨단 모델은 토큰 단위로 비용을 청구하며, 검사에서 아무것도 발견하지 못하더라도 토큰은 소모됩니다. 현재 공개된 가격으로는 100만 줄짜리 저장소를 검사하는 데 1,000달러가 넘게 듭니다. 모델마다 토큰 사용량 차이도 큽니다. 선택한 모델과 작업을 완료하기 위해 필요한 추론량에 따라 가격은 달라집니다.

기업 내 모든 커밋과 풀 리퀘스트, 저장소에 이런 비용을 적용해 합산해 보라. 연구개발에 연간 34억 달러를 지출하는 Uber는 AI 코딩 도구를 도입한 지 몇 달 만에 2026년 AI 예산을 전부 소진한 것으로 알려졌다.

이를 ‘토큰세’라고 부릅니다. 장을 보러 페라리를 몰고 가는 것과 같습니다. 그 여정에 필요하지도 않은 성능에 돈을 지불하는 셈이죠. 하드코딩된 자격 증명과 SQL 인젝션은 예측 가능한 패턴이므로 결정론적 분석으로 안정적으로 탐지할 수 있습니다.

애플리케이션 보안은 진화해야 합니다

이것이 Checkmarx Fusion 아키텍처의 설계 근거입니다. 규칙 기반 엔진은 반복 가능한 방식으로 기준 정답을 확립하며, 토큰 기반 분석보다 비용도 적게 듭니다. 프런티어 모델은 규칙이 예측할 수 없는 영역, 즉 새로운 패턴과 복잡한 논리, 맥락에 따른 악용 가능성을 살핍니다. 그런 다음 분석 계층이 탐지 결과를 종합해 신뢰할 수 있는 하나의 결과 집합으로 만듭니다.

결정론적 분석은 확실성을 제공하고, AI는 탐지 범위를 넓혀 줍니다. 탐지 범위와 신뢰도가 함께 높아집니다. LLM만 단독으로 사용하는 경우와 비교하면 충실도는 최대 4배, 정확도는 2~4배 높고 비용은 대략 3분의 1 수준입니다.

문제를 찾아내는 것은 시작에 불과합니다. 예방에도 같은 논리가 적용됩니다. 한 가지 예를 들어 보겠습니다. 개발자가 코드를 작성하는 IDE에서 개발을 시작하는 시점부터 필요한 지원을 제공하면 문제가 발생하기 전에 막을 수 있습니다. 마찬가지로, 끝내 걸러지지 않고 통과하는 취약점 가운데 가장 중요한 문제에 대해서는 개발자에게 바로 병합할 수 있는 수정안을 제공하면 어떨까요? 이것이 바로 우리가 해결하려는 과제입니다. 기존에 쌓인 문제를 조금씩 줄여 최소한의 노력으로 최대한 빠르게 효과를 내는 것이 목표입니다.

코드는 이미 실행 중입니다. 따라갈 수 있나요?

AI는 공격자에게 속도라는 선물을 안겨 주었습니다. 그 격차를 좁히는 방법은 도구를 하나 더 추가하는 것이 아닙니다. 조직 전체가 소프트웨어를 개발하고 보호하는 방식을 결정해야 합니다. 오늘 작성하는 코드는 앞으로 수년간 비즈니스를 움직일 것입니다. 이제 보안 책임자에게 중요한 질문은 AI가 개발 속도를 얼마나 높여 주느냐가 아닙니다. AI가 만들어 내는 결과물의 속도를 보안 프로그램이 따라갈 수 있느냐입니다.

그러니 숫자에만 매몰되지 마세요. 어떤 프로그램을 평가하든 세 가지를 물어보세요. 탐지 결과를 신뢰할 수 있는가? 중요한 문제를 충분히 찾아내는가? 조직 전반에 현실적으로 도입할 수 있는가? 결정론적 분석의 정밀성과 프런티어 모델의 추론 능력을 결합하면 세 질문 모두에 ‘그렇다’고 답할 가능성이 가장 커집니다.

소프트웨어 개발 속도는 늦춰지지 않습니다. 이제 우리가 해야 할 일은 위험 격차를 줄이는 것입니다. 즉, 소프트웨어가 만들어지는 속도와 위험을 찾아 해결하는 속도 사이의 간극을 좁혀야 합니다.