9개월 검토를 90시간으로 줄인 자동 분석
포어스카우트 리서치(Forescout Research) 베데레 랩스(Vedere Labs)가 발표한 연구 결과는 인공지능(AI)이 보안 작업의 속도를 단축하는 수준을 넘어 공격 비용의 기준선을 낮출 수 있음을 실증한다. 연구팀은 레거시(legacy) 전송제어프로토콜/인터넷프로토콜(TCP/IP) 스택에서 이전에 보고되지 않았던 취약점 66개를 찾아냈다. 더 날카로운 대목은 시간과 비용이다.
기존 방식으로 약 9개월이 걸릴 수 있던 네트워킹 소프트웨어 검토를 AI 지원 분석은 90시간으로 줄였고, 자동화된 정적 분석(static analysis)의 총비용은 약 935달러, 발견 건당 평균 2.58달러로 집계됐다. 이 수치는 포어스카우트 리서치 베데레 랩스의 연구 보고서에서 직접 확인된 것이다. 이 수치는 보안 전문가의 업무 효율을 높였다는 성과로만 읽기 어렵다.
본지 분석에 따르면 이번 연구의 사회적 의미는 병원, 공장, 발전 설비, 건물 관리 시스템, 가정용 사물인터넷(IoT) 기기가 모두 같은 네트워크 기반 소프트웨어에 의존한다는 사실에서 출발한다. TCP/IP는 인터넷 연결의 기초 배관이다. 배관에 금이 가면 물이 새듯, 기본 통신 계층의 결함은 특정 앱 하나를 삭제하는 방식으로 해결되지 않는다.
특히 운영기술(OT)과 임베디드 기기는 교체 주기가 길고 현장 중단 비용이 크기 때문에 취약점 공개 이후에도 패치 적용이 늦어지는 일이 잦다. 포어스카우트 연구팀은 임베디드 소프트웨어에 특화한 AI 하네스(harness)를 구축해 오픈소스 소프트웨어와 독점 바이너리(binary)를 함께 시험했다. 연구 대상에는 포어스카우트가 프로젝트 메모리아(Project Memoria)를 통해 과거 분석했던 소프트웨어가 포함됐다.
새로 발견한 66개 취약점 가운데 52%는 높음 또는 중요 등급으로 평가됐다. 세부적으로는 공통취약점평가시스템(CVSS) 기준 7.0~8.9점의 높음 등급이 47%, 4.0~6.9점의 중간 등급이 45%, 9.0 이상의 중요 등급이 5%였다(원천 자료 기준 수치이며 나머지 3%는 별도 분류가 명시되지 않았다).
광고
보안 업계에서 이 정도 비율은 단순한 코드 품질 문제가 아니라, 오래된 네트워크 구성요소가 여전히 사회 기반 서비스의 하단을 받치고 있다는 경고로 읽힌다. 취약점이 몰린 위치도 가볍지 않다. 연구에서 가장 많은 결함이 확인된 영역은 코어 IP, TCP, 사용자데이터그램프로토콜(UDP), 인터넷제어메시지프로토콜(ICMP), 이더넷(Ethernet) 등 핵심 통신 구성요소였고, 전체의 29%를 차지했다.
본지 분석에 따르면 이는 공격 표면이 웹 화면이나 모바일 앱처럼 이용자가 눈으로 보는 층에만 있지 않다는 뜻이다. 공장 센서가 데이터를 보내고, 빌딩 제어 장치가 신호를 주고받고, 가정용 공유기가 외부와 연결되는 가장 낮은 계층에서도 결함이 발생할 수 있다.
사용자는 보통 이런 소프트웨어의 이름조차 모른다. 그래서 위험은 더 조용히 이동한다.
공유기·공장·도시 인프라까지 번지는 위험
AI 분석 시스템이 이미 알려진 취약점의 40%를 다시 찾아냈다는 대목도 중요하다. 같은 결함을 다시 찾았다는 사실은 겉으로는 중복처럼 보이지만, 실제로는 자동 분석 도구가 기존 수동 연구의 일부 성과를 재현할 정도로 성숙했다는 의미다.
사람 연구자가 수개월 동안 읽어낸 결함 패턴을 기계가 훨씬 짧은 시간 안에 따라잡을 수 있다면, 다음 단계는 알려지지 않은 취약점의 대량 발굴이다. 방어자에게는 업무 자동화의 기회가 된다. 그러나 공격자에게도 진입 장벽을 낮춘다.
935달러라는 총비용은 국가 단위 공격 조직만 감당할 수 있는 규모가 아니다. 일반 독자에게 이 문제가 먼 얘기로 들릴 수 있다. 스마트폰 보안 업데이트 알림은 익숙하지만, 거실 공유기나 오래된 인터넷 카메라, 아파트 출입 시스템, 소규모 병원의 의료 주변기기까지 같은 리듬으로 관리된다고 믿기는 어렵다.
광고
본지 분석에 따르면 AI 취약점 탐색 시대의 생활 영향은 인터넷이 끊기는 불편을 넘어선다. 물류 창고의 온도 관리 시스템이 공격을 받으면 식품 폐기 비용이 늘 수 있고(편집국 추론적 분석), 제조 설비가 멈추면 납품 지연이 발생한다. 가정에서는 보안이 취약한 IoT 기기가 다른 공격의 발판으로 악용될 수 있다.
원본 연구가 특정 한국 제품이나 국내 기관 침해 사례를 지목한 것은 아니다. 다만 연결된 장치가 늘어난 사회일수록 같은 유형의 위험에 더 넓게 노출된다. 반론도 가능하다.
AI가 취약점을 더 빨리 찾는다면 방어자 역시 같은 도구로 먼저 문제를 찾아 고칠 수 있다는 주장이다. 이 반론은 절반만 맞다. 실제로 연구팀은 제한된 예산으로 오픈소스와 핵심 인프라 바이너리에서 결함을 찾을 수 있는지 시험했고, 그 결과는 방어 조직에도 유용하다.
문제는 발견 속도와 수리 속도가 일치하지 않는다는 점이다. 소프트웨어 업데이트는 클릭 한 번으로 끝나는 경우가 있지만, 산업 현장의 OT 장비는 가동 중단, 검증 절차, 납품사 지원 여부, 규제 기준을 함께 따진다. 공격자는 자동화로 빠르게 움직이는데 방어자는 현장 책임과 안전 승인 절차를 거쳐야 한다.
이 불균형을 무시하면 AI 보안 논의는 도구 성능 비교에 머문다. 정책 방향도 바뀌어야 한다.
본지 분석에 따르면 앞으로 정부와 공공기관이 먼저 해야 할 일은 모든 장비를 즉시 교체하라는 구호가 아니라, 어떤 장비가 어떤 TCP/IP 스택과 펌웨어(firmware)를 쓰는지 확인하는 자산 목록을 만드는 일이다. 소프트웨어 자재명세서(SBOM)를 요구하는 조달 기준, 납품 이후 보안 업데이트 기간 명시, 핵심 인프라용 장비의 취약점 통보 절차가 함께 움직여야 한다.
지금까지 보안 정책은 침해 사고가 난 뒤 원인을 추적하는 방식에 익숙했다. AI가 취약점 발굴 시간을 9개월에서 90시간으로 줄인 상황에서는 사후 대응 중심 체계가 비용을 더 키운다.
광고
발견 속도가 빨라진 만큼, 패치 우선순위를 정하는 행정과 현장 운영 절차도 단축되어야 한다.
정책은 패치보다 자산 파악을 먼저 봐야 한다
기업의 대응도 보안 부서만의 업무로 좁힐 수 없다. 제조사는 오래된 네트워크 스택을 계속 재사용해 제품 출시 시간을 줄여왔다.
이 관행은 단기 비용을 낮추지만, 같은 코드 결함을 여러 제품군으로 퍼뜨릴 수 있다. 구매 기업은 가격과 납기만 볼 것이 아니라 업데이트 제공 기간, 취약점 공개 정책, 원격 관리 기능의 보안 설정을 계약 단계에서 확인해야 한다. 가정과 소상공인도 예외가 아니다.
기본 관리자 비밀번호 변경, 사용하지 않는 원격 접속 기능 해제, 제조사가 제공하는 펌웨어 업데이트 확인은 여전히 가장 현실적인 방어선이다. 다만 이런 조치만으로 핵심 통신 스택 결함을 완전히 막을 수는 없다.
공급망 전체의 책임을 묻는 제도 설계가 뒤따라야 한다. 이번 연구가 특정 공격 캠페인의 발생을 공식 확인한 것은 아니다.
원본 자료에서 한국 기관 침해 여부, 특정 제품명, 실제 악용 사례는 확인되지 않았다. 그럼에도 경고의 강도는 낮아지지 않는다.
AI가 보안 연구자의 손에 있을 때는 취약한 코드를 더 빨리 찾는 현미경이지만, 공격자의 손에 들어가면 오래된 장비의 약한 지점을 값싸게 훑는 탐침이 된다. 사회가 택해야 할 방향은 분명하다. AI 분석을 금지하는 방식은 현실성이 낮다.
방어자가 같은 속도로 움직일 수 있도록 제도와 조달, 현장 운영을 바꾸는 편이 낫다. 인터넷의 기초 배관을 보이지 않는 영역으로 방치할 것인가, 아니면 생활 인프라의 안전 기준으로 끌어올릴 것인가.
이 선택은 기술 문제가 아니라 정책 의지의 문제다. ※ 이 기사는 Industrial Cyber 보도 및 포어스카우트 리서치(Forescout Research) 베데레 랩스(Vedere Labs)의 연구 자료를 참조하여 작성하였다.
광고
기자명과 보도 날짜는 원천 자료에서 확인되지 않았다.
FAQ
Q. 일반 가정의 공유기나 IoT 기기도 이번 연구와 관련이 있나
A. 원본 연구가 특정 가정용 제품의 침해나 국내 제품 취약점을 공식 확인한 것은 아니다. 다만 TCP/IP 스택은 공유기, 카메라, 센서, 산업 장비 등 인터넷에 연결되는 기기에서 널리 쓰이는 기본 소프트웨어 계층이다. 포어스카우트 리서치 베데레 랩스가 분석한 66개 취약점의 29%는 코어 IP·TCP·UDP 등 가장 기본적인 통신 구성요소에서 발견됐다. 이용자는 제조사의 펌웨어 업데이트 제공 여부를 확인하고, 기본 비밀번호와 원격 접속 설정을 점검해야 한다. 오래된 장비가 더 이상 업데이트를 받지 않는다면 교체도 현실적인 선택지다.
Q. AI가 취약점을 찾는 기술은 방어에 더 유리한가, 공격에 더 유리한가
A. 이번 연구만 놓고 보면 AI는 방어자에게도 강한 도구다. 9개월 수준의 검토를 90시간으로 줄였고, 알려진 취약점의 40%를 다시 찾아내 분석 자동화의 효율을 입증했다. 그러나 같은 원리가 공격자에게도 적용된다는 점이 문제다. 총비용 935달러라는 낮은 진입 장벽은 국가 단위 조직 외에도 소규모 위협 행위자에게 문호를 열어준다. 방어자가 이점을 확보하려면 취약점 발견 이후 패치 검증, 장비 목록 관리, 공급사 통보 절차를 함께 단축해야 한다.
Q. 정부와 기업은 무엇을 먼저 바꿔야 하나
A. 가장 먼저 필요한 작업은 연결 장비와 내장 소프트웨어를 파악하는 일이다. 어떤 장비가 어떤 펌웨어와 네트워크 스택을 쓰는지 모르면 취약점이 공개되어도 영향 범위를 계산하기 어렵다. 조달 단계에서는 소프트웨어 자재명세서(SBOM) 제출 의무화, 업데이트 지원 기간, 취약점 공개 절차를 계약 조건에 명시해야 한다. 핵심 인프라 운영자는 패치가 어려운 장비에 대해 분리망, 접근 제어, 대체 장비 계획을 함께 마련해야 한다.
▶ 법률 고민이 있다면 → 변호사 오경석 법률사무소 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}