AI는 그 어느 때보다 많은 취약점을 찾아낼 수 있다. 하지만 다음에 무엇을 할지는 여전히 사람이 결정해야 한다.

수년 동안 사이버 보안팀은 단순한 가정에 따라 움직였다. 취약점을 더 빠르게 더 많이 찾아낼 수 있다면 소프트웨어를 더 안전하게 만들 수 있다는 것이었다.

인공지능은 이 가정에 의문을 제기하고 있다. AI 전반에 관한 논의의 초점이 빠른 도입에서 측정 가능한 가치로 옮겨가면서, 사이버 보안 분야에서는 AI 도입이 둔화되더라도 사라지지 않을 과제가 드러나고 있다. 조직들은 이미 AI가 생성한 취약점 보고가 늘어나는 상황에 직면해 있으며, 이 보고들을 검증하고 우선순위를 정해 해결하려면 여전히 사람이 필요하다.

최근 Project Glasswing에서 나온 결과는 지금까지 가장 분명한 사례 중 하나다. Claude Mythos Preview는 불과 몇 달 만에 여러 소프트웨어 프로젝트에서 26,000건이 넘는 취약점 보고를 찾아낸 것으로 알려졌다. 하지만 Glasswing의 공개 취약점 공개 기록을 독립적으로 분석한 결과에 따르면, 이 중 공개 절차에 들어간 것은 약 10%에 불과하며, 최종적으로 패치된 것은 1% 미만이다.

이 수치는 눈에 띄지만, 놀라운 일은 아니다. 업계는 수십 년 동안 취약점 발견을 최적화하는 데 힘을 쏟았다. 하지만 AI 규모로 쏟아지는 취약점 보고를 처리할 역량은 갖추지 못했다.

사이버 보안의 병목은 더 이상 취약점 발견이 아니다. 발견한 뒤에 벌어지는 일이 문제다.

취약점을 찾는 일이 가장 어려웠던 적은 없다

Project Glasswing의 초기 업데이트에서 Anthropic은 취약점을 찾아내는 일보다 보고를 검증하고, 공개 절차를 조율하며, 해결 작업을 지원하는 데 필요한 인적 작업이 진전을 점점 더 제약하고 있다고 밝혔다. 또한 일부 유지관리자는 생성되는 보고 물량을 처리할 역량이 부족해 공개 속도를 늦춰 달라고 요청했다고 전했다.

이 차이가 중요한 이유는 취약점 발견과 취약점 해결이 근본적으로 서로 다른 활동이기 때문이다.

취약점 발견은 갈수록 패턴 인식의 문제가 되고 있다. 최신 AI 시스템은 대규모 코드베이스를 분석하고, 이례적인 동작을 찾아내며, 실행 경로를 추적하고, 잠재적인 취약점을 드러내는 데 뛰어나다.

취약점 해결은 다르다. 취약점을 수정하려면 맥락을 이해해야 한다. 누군가는 문제가 실제로 존재하는지 판단하고, 잠재적 영향을 파악하고, 가능한 수정 방안을 검토하고, 변경 사항이 회귀 문제를 일으키지 않는지 확인하고, 공개 일정을 조율하고, 이해관계자와 소통한 뒤, 최종 결과에 대한 책임을 져야 한다.

마지막 부분이 중요하다. AI는 잠재적 취약점을 찾아낼 수 있지만, 그다음에 벌어지는 일에 책임을 질 수는 없다. 보고를 검증하고, 우선순위를 정하고, 수정하고, 알리는 일에는 언제나 자신이 관리하는 프로젝트에 책임을 지는 사람이 필요하다. 이 일에는 대개 전업 직업과 가족이 있고 다른 의무와도 시간을 나눠야 하는 사람들이 시간을 내야 한다. 많은 오픈소스 프로젝트에서 제약 요인은 위험을 파악할 수 있느냐가 아니라, 유지관리자와 보안팀이 계속 늘어나는 보고를 책임감 있게 평가하고 대응할 역량이 있느냐다.

이것이 취약점 발견과 해결의 근본적인 차이다. AI의 도움으로 규모를 키울 수 있는 일이 점점 늘어나는 것이 취약점 발견이다. 반면 취약점 해결은 AI가 찾아낸 문제에 대응할 맥락과 권한, 책임을 갖춘 사람에게 여전히 달려 있다.

오픈소스가 안고 있는 과제

이러한 양상은 오픈소스 생태계 전반에서 더욱 뚜렷하게 나타난다. 상용 코드베이스의 98%에 오픈소스 구성 요소가 포함되어 있으며, 전 세계 디지털 인프라의 압도적 다수가 비교적 소수의 기여자가 관리하는 프로젝트에 의존하고 있다.

많은 경우, 이처럼 중요한 소프트웨어를 관리하는 사람들은 자원봉사자이거나 전업 직업과 개인적인 의무를 병행하며 프로젝트를 맡은 사람들이다. AI로 인해 소프트웨어가 늘어나고 그 안에서 발견되는 취약점도 많아질수록, 유지관리자들이 이를 따라갈 역량은 보안의 중요한 요소가 된다.

AI 시스템이 프로젝트 생태계에서 잠재적 취약점 보고를 수백 건, 수천 건씩 갑자기 생성하면 유지관리자들이 병목이 된다.

이는 유지관리자를 비판하는 말이 아니다. 현실을 반영한 것이다.

AI 기반 취약점 탐지가 등장하기 전부터 많은 오픈소스 프로젝트는 제한된 자원, 높아지는 보안 기대치, 늘어나는 유지관리 부담으로 어려움을 겪었다. AI는 이미 한계에 다다른 시스템에 가해지는 압박을 가속하고 있다.

과제는 취약점이 존재하는지 판단하는 데 그치지 않는다. 그 이후에 벌어지는 모든 일이 과제다.

누군가는 보고를 검토해야 한다. 누군가는 문제를 재현해야 한다. 누군가는 그것이 보안 위험인지 판단해야 한다. 누군가는 수정 방안을 개발하고 시험해야 한다. 누군가는 공개 절차를 조율하고 업데이트를 배포해야 한다. 이러한 책임을 단순히 자동화로 없앨 수는 없다.

AI가 생성하는 취약점 보고가 계속 늘어날수록, 오픈소스 소프트웨어에 의존하는 조직들은 이를 관리하는 사람들의 건강과 지속 가능성에 더욱 의존하게 될 것이다.

AI 취약점 발견 급증에 대비하기

그렇다면 기업은 어떻게 해야 할까? 우선 조직은 AI 기반 취약점 발견이 미래의 문제가 아니라는 점을 인식해야 한다. 이미 현실에서 일어나고 있다. Project Glasswing은 최첨단 모델이 불과 몇 년 전만 해도 상상하기 어려웠을 규모로 취약점을 찾아낼 수 있음을 보여줬다.

둘째, 보안 책임자는 취약점 대응 프로세스가 취약점 발견 역량의 발전에 발맞춰 확장될 수 있는지 평가해야 한다. 많은 조직이 취약점을 찾아내는 데 막대한 투자를 해 온 반면, 이를 해결하는 사람과 프로세스에는 충분히 투자하지 않았다.

셋째, 기업은 보안 기능으로서의 소프트웨어 유지보수에 더 주의를 기울여야 한다. 보안은 흔히 예방과 탐지의 관점에서 논의되지만, 장기적인 유지보수는 위험 관리에서 가장 중요하면서도 충분히 주목받지 못하는 요소 중 하나다. AI 덕분에 취약점을 더 쉽게 찾을 수 있게 되더라도, 핵심 소프트웨어를 장기간 안전하게 유지할 책임이 줄어드는 것은 아니다. 조직에는 위험이 발생했을 때 성급한 마이그레이션이나 사후 대응식 보완에 내몰리지 않고 계획적으로 현대화할 수 있도록 하는 수명주기 관리 전략이 필요하다.

마지막으로 조직은 자신이 의존하는 더 넓은 생태계를 지원해야 한다. AI가 오픈소스 소프트웨어 전반의 취약점 발견을 가속화하면서 유지관리자에게 더 많은 요구가 쏟아질 것이다. 소프트웨어 공급망의 보안은 결국 유지관리자에게 대응에 필요한 자원이 있는지에 달려 있다.

AI는 취약점을 더 빠르게 찾아낼 수 있다. 하지만 취약점을 발견한다고 해서 소프트웨어가 안전해지는 것은 아니다. 더 어려운 일은 위험을 검증하고, 중요한 문제를 우선순위에 따라 처리하며, 충분한 테스트를 거친 수정 사항을 배포하고, 장기간 소프트웨어를 안전하게 유지하는 것이다. 취약점 발견이 가속화됨에 따라 조직에는 전문성, 책임 체계, 명확한 서비스 수준을 갖춘 지속적인 취약점 대응 역량이 필요해질 것이다.

사이버 보안에서 가장 어려운 문제는 취약점을 찾는 일이 아니다. 그다음에 무엇을 하느냐가 문제다.