AI 도구의 확산으로 취약점을 무기화하는 데 걸리는 시간이 과거 수일~수 주에서 10분 이내로 급격히 단축되었습니다. 2026년 한 해에만 6만 6,000건의 새로운 취약점(CVE)이 공개될 것으로 전망되며, 2025년에 악용된 취약점의 29%는 공개 당일 또는 그 이전에 이미 공격에 활용됐습니다. 반면 기업의 평균 패치 소요 시간은 43일로 늘어나 '공격-방어 속도 격차'가 심각하게 벌어지고 있습니다. 이에 한국인터넷진흥원(KISA)은 AI를 활용한 취약점 전주기 관리 체계를 가동하고, 미국 CISA의 3일 내 조치 의무화·EU 사이버복원력법(CRA)에 발맞춰 위험 기반 우선순위 패치 방식으로의 전환을 기업에 권고했습니다. 기업 보안 담당자는 EPSS(악용 확률 점수)와 SBOM(소프트웨어 구성명세서)을 활용해 가장 위험한 취약점을 먼저 조치하는 방식으로 대응 전략을 재편할 필요가 있습니다.
AI 자율 탐지 도구 확산으로 취약점 무기화 속도가 10분 이내로 단축되었으며, 2025년 악용 취약점의 29%가 공개 당일 또는 그 이전에 실제 공격에 사용됐다. 국내 상반기 침해사고 신고도 전년 동기 대비 19.5% 증가했다.
기업 평균 패치 소요 시간(43일)과 공격자의 무기화 시간(10분 미만) 간 격차가 극단적으로 벌어지면서 미조치 취약점이 주요 침투 경로로 악용되고 있다. 2026년 공개 CVE는 6만 6,000건에 달할 전망이다.
AI 도구가 취약점 탐색과 익스플로잇 코드 개발을 자동화·가속화하면서 공격 진입 장벽이 대폭 낮아졌다. 방어 측은 여전히 전수 패치 중심의 느린 프로세스에 머물러 있다.
KISA는 AI 기반 취약점관리센터(KNVD 포털)를 중심으로 발견~조치~전파 전주기 일원화 체계를 가동했다. GPT-5.5 사이버 모델로 국가 기반시설 취약점을 점검 중이며, CVD·VDP 시범사업으로 민간 공조 생태계도 구축한다. 미국 CISA는 BOD 26-04로 고위험 취약점 3일 내 조치를 의무화했고, EU CRA는 24시간 내 조기 경보 제출을 요구한다.
전수 패치 대신 EPSS(악용 확률 점수)와 SBOM(소프트웨어 구성명세서) 기반으로 고위험 취약점을 선별해 우선 조치하는 '위험 기반 속도전' 전략으로 전환해야 한다. 인터넷에 노출된 자산의 취약점 현황 파악이 선행 과제다.
본문
AI 자율 탐지 도구 확산으로 소프트웨어 취약점 생태계가 폭발적으로 팽창하면서 보안 조직의 대응 시간에 비상이 걸렸다. 이에 한국인터넷진흥원(KISA)은 AI 기술을 선제적으로 접목한 취약점관리센터 중심의 일원화된 방어 체계를 전면 가동한다고 22일 밝혔다.
KISA에 따르면, 2026년 한 해 새롭게 공개될 취약점(CVE)은 6만 6,000건에 달할 전망이다. 이는 2023년(2만 9,066건) 대비 2배 이상 급증한 수치다. 국제 침해사고 대응 협의체 'FIRST'(Forum of Incident Response and Security Teams) 역시 AI 도구 확산을 근거로 연초 전망치보다 46.3% 상향 조정했다.
문제는 단순 취약점 발견 건수가 아닌 무기화 속도에 있다. 과거 수일에서 수 주가 걸리던 익스플로잇(Exploit, 취약점을 실제 공격에 사용하는 코드) 개발이 AI를 거치며 10분 미만으로 단축됐다. 실제로 2025년 악용된 취약점의 29%는 대중에 공개된 당일 또는 그 이전에 선제 타격에 사용됐다. 반면 방어 기업들의 평균 패치 소요 시간은 43일로 오히려 늘었다. 국내도 올해 상반기 침해사고 신고가 전년 동기 대비 19.5% 증가했으며, 장기간 방치된 미조치 취약점이 주된 침투 경로로 지목됐다.
글로벌 보안 선진국들은 이미 '위험 기반 속도전'으로 방향을 틀었다. 미국 사이버인프라보안국(CISA)은 구속력 있는 운영지침(BOD 26-04)을 발동해 악용이 확인된 고위험 취약점은 '3일 내 조치'하도록 의무화했다. 유럽연합(EU)은 '사이버복원력법'(CRA, Cyber Resilience Act)을 통해 악용 중인 취약점을 인지한 후 24시간 내 조기 경보를 제출하도록 조치했다.
이에 대응해 우리 정부와 KISA는 'AI 기반 사이버위협 대응 민간 정보보호 추진계획'을 가동했다. KISA 취약점관리센터는 취약점 정보포털(KNVD)을 중심으로 발견부터 검증, 조치 지원, 전파까지의 전 주기를 하나로 엮는 정보 허브 역할을 한다.
▲KISA의 AI 기반 점검 실증 현황 [출처: KISA]
보안 체계로서의 AI 실증 작업도 본격화됐다. KISA는 과학기술정보통신부와 함께 오픈AI의 협력 프로그램에 참여해 'GPT-5.5 사이버' 모델로 국가 기반 시설의 웹페이지와 상용 소프트웨어 취약점을 점검 중이다. AI가 도출한 의심 항목 중 50~60%가 유효한 취약점으로 검증됐으며, 전문가가 수 주에서 길게는 한 달 넘게 매달리던 분석 작업을 일주일 이내로 줄였다.
기업의 자율 보안 역량도 강화한다. KISA는 전수 패치가 아닌 악용 확률 점수(EPSS, Exploit Prediction Scoring System)와 소프트웨어 구성명세서(SBOM, Software Bill of Materials) 기반의 공급망 추적을 통해 치명적인 취약점을 선별·우선 조치할 것을 권고했다. 또, 화이트해커와 기업이 협력하는 '조정된 취약점 공개'(CVD, Coordinated Vulnerability Disclosure) 및 포상제(VDP, Vulnerability Disclosure Program) 시범사업을 통해 안전한 민간 공조 생태계를 확립할 계획이다.
배승권 KISA 취약점관리센터장은 "공격자가 AI를 통해 취약점 탐색과 무기화를 자동화하는 시대에, 방어자 역시 속도전을 위해 AI를 도구로 적극 활용해야 한다"며 "모든 것을 일률적으로 막는 것이 아니라, 인터넷에 노출된 자산 중 위험도 높은 취약점을 우선 선별하고 신속하게 조치하는 기본기가 기업 보안의 성패를 결정지을 것"이라고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
