최근 앤트로픽이 공개한 미토스(Mythos)는 사람이 오랫동안 발견하지 못했던 소프트웨어 취약점을 찾아내고, 실제 공격 코드까지 생성할 수 있는 수준의 성능을 보여주며 업계의 주목을 받았습니다.
AI가 취약점을 찾는 속도가 빨라질수록 기업이 문제를 발견하고 대응할 수 있는 시간은 점점 짧아지고 있는데요. 이제는 얼마나 빨리 취약점을 찾아내느냐보다, 얼마나 빠르게 검증하고 조치하느냐가 더욱 중요해지고 있습니다.
이런 변화 속에서 외부 보안 연구자와 기업이 함께 취약점을 해결하는 '보안 취약점 상시 신고·조치·공개제도(CVD·VDP)'가 다시 주목받고 있습니다.
소프트웨어에서 취약점을 완전히 없애는 것은 사실상 불가능합니다. 실제 서비스 환경에서는 예상하지 못한 문제가 계속 발생하고, 기업 내부 인력만으로 모든 취약점을 찾아내는 데에도 한계가 있기 때문인데요. 그래서 많은 기업은 외부 보안 연구자와 협력해 보안 수준을 높이고 있습니다.
이때 먼저 등장하는 것이 VDP(취약점 공개 정책)입니다. 기업이 "이 범위 안에서는 점검해도 되고, 이 창구로 신고해 달라"는 기준을 미리 공개하는 제도인데요. 이후 신고된 취약점을 함께 검증하고, 패치와 공개 시점을 조율하는 운영 체계가 바로 CVD(조정된 취약점 공개)입니다.
흔히 알려진 버그바운티가 보상에 초점을 맞춘 제도라면, CVD와 VDP는 신고부터 검증, 조치, 공개까지 이어지는 상시 대응 체계를 만드는 데 의미가 있습니다.
이 제도가 다시 주목받는 가장 큰 이유는 AI입니다. 과거에는 숙련된 보안 전문가가 오랜 시간 코드를 분석해야 했지만, 이제는 AI가 사람이 놓친 논리적 오류를 찾아내고 여러 취약점을 연결해 실제 공격 경로까지 만들어낼 수 있는 수준으로 발전했습니다.
앤트로픽 역시 미토스가 주요 운영체제와 웹브라우저에서 수천 개의 취약점을 발견했으며, 일부는 사람의 추가 지시 없이도 실제 동작하는 공격 코드를 생성했다고 밝혔습니다.
해외에서는 이미 관련 제도도 빠르게 자리 잡고 있습니다. 미국은 연방기관에 VDP 도입을 의무화하고 선의의 보안 연구 활동을 보호하는 원칙을 마련했으며, EU도 CVD 조정기관 지정과 취약점 신고 의무를 법제화하고 있습니다. 우리나라 역시 올해부터 15개 기관을 대상으로 '보안취약점 상시 신고조치제' 시범사업을 시작했으며, 2027년 제도화를 목표로 준비를 이어가고 있습니다.
앞으로 AI는 사람보다 더 빠르게 취약점을 찾아낼 가능성이 높습니다. 하지만 보안을 결정하는 것은 AI의 탐지 능력만이 아닙니다. 발견된 취약점을 얼마나 신속하게 검증하고, 패치하고, 안전하게 공개할 수 있는지가 기업의 보안 수준을 좌우하게 될 것입니다.
결국 앞으로는 선의의 보안 연구자를 보호할 제도, 기업이 적극적으로 참여할 수 있는 환경, 발견된 취약점을 실제 조치로 연결하는 운영 체계가 함께 갖춰져야 합니다. AI가 취약점을 찾는 시대일수록, 이를 효과적으로 대응하는 체계가 새로운 보안 경쟁력이 될 것으로 보입니다.
콘텐츠 제공 : 바이라인네트워크(byline.network)
