한국인터넷진흥원(KISA)이 오픈AI의 보안 특화 AI 모델 'GPT-5.5 사이버'를 국가 기반시설 취약점 점검에 활용하기 시작했습니다. AI를 통해 기존에 일주일~한 달 걸리던 취약점 탐색 시간을 크게 단축했으며, 발견된 취약점 10건 중 5~6건이 실제 위협으로 확인됐습니다. 한편 공격자들도 AI를 활용하면서 취약점이 공개된 후 악용되는 시간이 수일에서 수시간으로 줄었고, 지난해 악용된 취약점의 29%는 공개 당일 또는 그 이전부터 이미 공격에 쓰였습니다. 반면 국내 기업의 평균 패치(취약점 수정) 소요 기간은 43일로 오히려 늘었고 완전 조치율도 26%에 불과해, '신속 패치' 의무화 법제화의 필요성이 제기됐습니다. 국내 보안 환경에 특화된 한국형 보안 AI 개발도 네이버클라우드 컨소시엄 주도로 착수된 상태입니다.
KISA가 오픈AI의 GPT-5.5 사이버 모델을 국가 기반시설 취약점 점검에 투입해 기존 대비 대폭 단축된 시간 안에 유효 취약점을 발굴하고 있으며, 공격자들도 AI를 활용해 취약점 악용 시간이 수시간 단위로 줄고 있는 상황이다.
지난해 악용된 취약점의 29%가 공개 당일 혹은 이전부터 공격에 활용됐고, 국내 기업 평균 패치 기간은 43일(전년 32일 대비 증가), 완전 조치율은 26%에 그쳐 공격-대응 간 시간 격차가 심화되고 있다.
공격자의 AI 활용으로 취약점 무기화 속도가 급격히 빨라진 반면, 기업 측 패치 대응 속도는 오히려 느려지고 있으며, 국내에는 구체적인 취약점 조치 시한을 강제하는 법적 근거가 없다.
KISA는 AI를 내부 분석·검증 업무에도 확대 적용할 계획이며, 취약점 신속 조치를 위한 법제화 필요성을 제언했다. 미국 CISA는 BOD 26-04 지침을 통해 연방민간행정부기관(FCEB)의 고위험 취약점 조치 시한을 최단 3일로 설정한 바 있다.
기업 보안 담당자는 취약점 공개 후 악용까지의 시간이 수시간으로 단축된 현실을 감안해 패치 우선순위 체계를 재검토하고, KEV 등 실제 악용이 확인된 취약점은 공개 당일 긴급 대응 프로세스를 가동해야 한다.
본문
한국인터넷진흥원(KISA)은 지난 21일 서울 종로구 HJ비즈니스센터 광화문점에서 '이슈앤톡' 행사를 개최했다. 배승권 KISA 취약점관리센터장(왼쪽)과 김은성 KISA 위협대응정책팀장이 기자들과 질의응답을 하고 있다. (사진=KISA)
정부가 오픈AI의 사이버보안 특화 인공지능(AI)을 국가 기반시설 취약점 점검에 투입했다. 사람이 일주일에서 한 달가량 걸리던 취약점 탐색 소요 시간을 단축하며 유효 취약점을 찾아내는 성과를 거두고 있다.
배승권 한국인터넷진흥원(KISA) 취약점관리센터장은 지난 21일 서울 광화문에서 열린 '이슈앤톡' 행사를 통해 "국가 기반시설 대외 공개 웹페이지와 이들이 사용하는 상용·오픈소스 소프트웨어를 점검하고 있다"며 "AI가 찾은 10건 중 유효한 취약점은 5~6건 수준"이라고 밝혔다.
이어 "전문인력을 투입할 때 일주일, 한 달이 걸렸던 업무를 AI가 훨씬 짧은 시간 내 수행하고 있어 큰 도움이 되고 있다"고 전했다.
과학기술정보통신부와 KISA는 지난 5월부터 오픈AI의 GTAC 프로그램에 참여했고, 보안에 특화된 프런티어 AI 모델 'GPT-5.5 사이버'를 취약점 점검에 본격 활용하기 시작했다.
KISA는 쏟아지는 취약점에 대응하기 위해 내부 분석·검증 업무에 AI를 적용하는 방안도 추진하고 있다. 실제 조치가 필요한 유효 취약점을 빠르게 가려내는 시간을 줄이겠다는 취지다.
또 유효하지 않은 취약점 제보가 기업의 분석·조치 부담으로 이어지는 문제를 줄이기 위해 보호나라 등에 마련된 관련 운영 지침도 정비할 계획이다.
KISA는 취약점을 발견 이후 얼마나 신속하게 조치하느냐도 중요해지고 있다고 강조했다. 공격자들의 AI 활용으로 인해 취약점이 공개된 뒤 악용되는데 걸리는 시간이 수일에서 수시간 단위로 줄고 있기 때문이다. 실제 지난해 악용된 취약점의 29%는 공개 당일 또는 공개 이전부터 공격에 활용됐다.
반면 기업의 패치 소요 기간은 평균 43일로 전년 32일보다 오히려 늘었다. 악용이 확인된 취약점의 완전 조치율도 26%에 그쳤다.
공격과 대응 간 시간 격차를 줄이기 위해 해외에서는 구체적인 조치 시한을 설정하는 움직임도 나타나고 있다.
미국은 지난 6월 사이버보안·인프라보안국(CISA)이 '취약점 대응 지침(BOD 26-04)'을 통해 연방민간행정부기관(FCEB)의 고위험 취약점 조치 시한을 최단 3일로 설정했다. 전체 공공·민간에 적용되는 기준은 아니지만 시한을 구체적으로 제시했다는 점에서 의미가 있다.
배 센터장은 "한국은 미국과 같은 지침이 아직 없다"며 "공개된 취약점을 신속히 조치할 수 있도록 관련 제도의 법제화를 고민할 필요가 있다"고 제언했다.
국내 환경에 맞춘 보안 특화 파운데이션 모델 구축 필요성도 제기됐다. 해외 모델만으로는 한국형 공격과 국내 보안 환경을 충분히 반영하기 어렵다는 판단에서다.
김은성 KISA 위협대응정책팀장은 "국내는 한컴오피스 '한글'이나 망분리처럼 해외와 다른 전산환경을 많이 사용하고 있다"며 "이 같은 국내 환경을 노린 공격에 대응하려면 우리나라에 특화된 보안 AI가 필요하다"고 말했다.
현재 정부는 네이버클라우드 컨소시엄을 사업자로 선정해 보안 특화 AI 개발에 착수했다. KISA는 축적한 위협정보와 침해사고 조사 데이터를 제공하는 등 AI 학습을 지원할 방침이다.
미국 CISA가 제시한 연방민간행정부기관(FCEB) 대상 위험도별 취약점 조치 시한 - 미국 CISA가 제시한 연방민간행정부기관(FCEB) 대상 위험도별 취약점 조치 시한 (출처=CISA)
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
