NIST, 국가 취약성 데이터베이스 현대화를 위한 공개 의견 수렴 개시

미국 국립표준기술연구소(NIST)가 AI 시대에 맞게 국가취약점데이터베이스(NVD)를 재구축할 방법에 관한 공개 의견을 받습니다. 2026년 8월 12일 시작한 62일간의 접수는 10월 13일 미국 동부시간 오후 11시 59분에 마감됩니다. 연방관보에 게재된 정보 요청(RFI) 은 NVD의 확장성, 자동화, 상호운용성, 투명성, 유용성과 함께 취약점 관리 과정의 어디에서 AI를 신뢰하고 어디에서는 신뢰하지 않아야 하는지 묻습니다.

NVD는 NIST 정보기술연구소가 설립·운영하는 미국 정부의 표준 기반 취약점 관리 데이터 저장소입니다. 공통 취약점 및 노출(CVE) 프로그램의 기록을 공개 후 약 한 시간 안에 받아 심각도 점수와 영향받는 제품 정보를 보강합니다. 보안 도구들은 웹 인터페이스와 API로 이를 이용합니다. 공고는 NVD를 공공·민간 부문의 취약점 관리, 소프트웨어 보안, 규정 준수 자동화, 사이버 위험 분석의 기반 자원으로 설명합니다.

RFI는 조치의 이유를 명확히 밝힙니다. AI 기반 사이버 도구와 빨라진 소프트웨어 제공 주기로 생태계가 바뀌고, 악의적 행위자는 AI로 대규모 취약점 탐지·악용을 할 수 있습니다. 주기적 검사, 고정된 우선순위, 수동 수정에 기반한 기존 방식은 한계를 드러낸다고 설명합니다. NIST가 지향하는 것은 미래에 대비한 “지속적이고 맥락을 반영하며 자동화된” 취약점 관리 생태계입니다.

분류부터 수정까지 일곱 가지 질문 영역

질문은 일곱 영역으로 구성됩니다. 절차에 관해서는 취약점 수명주기 중 AI 자동화가 적합한 곳과 사람 검토를 유지할 작업을 묻습니다. 위험 평가에서는 맥락에 따른 우선순위 결정 방식과 AI 결정의 투명성·감사 가능성 개선을 묻습니다. 수정에서는 AI의 수정안 생성 역할, 잘못된 AI 수정안을 찾아낼 안전장치, 신속하고 완전한 취약점 정보를 받아도 조직이 패치하지 못하는 원인을 묻습니다.

두 영역은 일상 운영을 넘어섭니다. 하나는 기존 식별자, 제품 명명 체계, 심각도 점수가 AI 시대에 실제 조치로 이어질 우선순위 설정에 충분한지와 기계가 읽는 취약점 데이터의 공백을 묻습니다. 다른 하나는 향후 5년간 NVD의 효과를 높일 기능·서비스, 대비할 새로운 흐름, 현대화 성공을 측정할 지표 등 NVD의 미래 모습을 제안하도록 요청합니다.

공고에 따르면 답변은 전략 계획, 기술 아키텍처 결정, 표준·모범 사례 개발, 데이터 거버넌스, 공동체 협력에 반영됩니다. 의견은 regulations.gov의 안건 NIST-2026-0100으로 전자 제출해야 하며 우편·팩스·이메일은 받지 않습니다. 모든 의견은 정보를 가리지 않고 공개되므로 공고는 개인정보나 기업 기밀을 포함하지 말라고 안내합니다.

이미 부담이 커진 데이터베이스

이번 RFI는 NIST가 핵심 처리량을 더 이상 따라가지 못한다고 인정한 지 네 달 만에 나왔습니다. 2026년 4월 15일 발표에서 기관은 CVE 제출이 2020~2025년 263% 증가했고 2026년 첫 석 달에는 전년 동기보다 거의 3분의 1 늘었다고 밝혔습니다. 2025년 약 4만2,000건의 CVE 정보를 보강해 과거 어느 해보다도 45% 많았지만 2024년 초부터 쌓인 미보강 기록을 모두 처리하지 못했습니다.

이에 우선순위를 정해 처리하는 방식을 도입했습니다. CISA의 실제 악용된 취약점(KEV) 목록에 있는 CVE는 한 영업일 내 정보 보강을 목표로 우선 처리합니다. 연방정부 사용 소프트웨어와 행정명령 14028이 규정한 핵심 소프트웨어에 영향을 주는 CVE도 우선 대상입니다. 이 명령은 바이든 행정부가 2021년 내린 연방 사이버보안 지침입니다. 나머지는 목록에 남지만 “최저 우선순위 — 즉시 정보 보강 예정 없음”으로 표시합니다. 2026년 3월 1일 이전에 공개된 미처리 CVE는 모두 “일정 미정” 범주로 옮겼습니다. 제출한 CVE 번호 부여 기관이 이미 심각도 점수를 제공한 경우 NIST가 자체 점수를 관행적으로 다시 발급하는 일도 중단했습니다.

우선순위 조정과 함께 현대화도 진행됐습니다. 2026년 6월 17일 NVD는 데이터 피드와 API를 확장해 기존 심각도 점수에 더해 CISA의 승인된 데이터 게시자가 제공하는 이해관계자별 취약점 분류(SSVC) 데이터와 CVE 기록에서 추출한 영향받는 소프트웨어의 구조화된 목록을 제공했습니다. 변경은 전체 취약점의 약 95%에 영향을 줬으며, NIST는 갱신 중 API 응답 데이터가 커지고 지연이 증가할 수 있다고 안내했습니다.

현대화 의견 수렴이 바꿀 수 있는 것

공고는 의견 기록을 NVD 다음 단계의 기초 자료로 삼고 아키텍처, 표준 개발, 데이터 거버넌스를 대상으로 명시합니다. NVD의 정보 보강에 이미 의존하는 보안팀에게는 우선순위 기준, 기계 판독 데이터, 점수 표준에 관한 질문이 향후 NVD 업무 흐름에 가장 영향을 줄 수 있습니다. 이는 4월의 우선순위 조정이 재편한 바로 그 흐름입니다. NIST는 미발표 연구와 실증 데이터 첨부도 요청했습니다. 단순한 입장문보다 근거를 원한다는 신호입니다.

의견 수렴은 2026년 10월 13일 마감됩니다. 이후 도착한 제출물은 검토되지 않을 수 있습니다.