소프트웨어 공급망 보안 회사 JFrog가 OpenAI와 함께 진행한 제로데이 취약점 연구 결과를 공유하면서 흥미로운 화두를 던졌어요. 제목부터가 도발적인데요, '빠른 수정(Fast Remediation)이 새로운 신뢰 모델이다'라는 거예요. JFrog는 개발자들에게는 Artifactory라는 아티팩트 저장소로 익숙한 회사인데, 보안 연구팀이 오픈소스 생태계의 취약점을 꾸준히 발굴해 온 곳이기도 해요. 그런 회사가 AI 회사와 손잡고 취약점을 찾은 경험을 공개하면서, 보안 업계의 오래된 상식 하나를 다시 쓰자고 제안한 셈이거든요.
제로데이가 뭐냐면
먼저 용어부터 짚고 갈게요. 제로데이(zero-day)는 개발사가 아직 패치를 내놓지 못한 취약점을 말해요. 방어할 시간이 '0일'이라는 뜻이죠. 지금까지 업계는 이 문제를 '책임 있는 공개(responsible disclosure)'라는 관행으로 다뤄왔어요. 연구자가 취약점을 발견하면 비공개로 개발사에 제보하고, 보통 90일 정도의 유예 기간을 준 뒤에 공개하는 방식이에요. 개발사가 패치를 만들 시간을 벌어주는 거죠. 이 90일이라는 숫자는 구글 프로젝트 제로가 정착시킨 일종의 업계 표준이었어요.
AI가 등장하면서 전제가 흔들려요
그런데 이 관행에는 숨은 전제가 있어요. '취약점을 찾는 일은 느리고 어렵다'는 거예요. 소수의 뛰어난 연구자가 몇 주씩 코드를 파야 하나 찾을까 말까 한 일이었으니까, 90일이면 충분히 여유로운 시간이었죠. 그런데 AI가 이 전제를 무너뜨리고 있어요. OpenAI는 GPT-5 기반의 보안 연구 에이전트 'Aardvark'를 공개한 바 있는데, 이 에이전트가 실제 오픈소스 프로젝트에서 취약점을 찾아내 CVE 번호가 부여된 사례들이 나왔거든요. 구글도 'Big Sleep'이라는 프로젝트에서 AI로 SQLite의 실제 취약점을 찾아낸 적이 있고요. 사람이라면 몇 주 걸릴 코드 분석을 AI는 훨씬 빠르게, 그것도 쉬지 않고 병렬로 돌릴 수 있어요. 문제는 이 도구를 방어자만 쓰는 게 아니라는 거예요. 공격자도 같은 기술로 취약점을 찾을 수 있잖아요.
그래서 '빠른 수정'이 신뢰의 기준이 된다는 거예요
여기서 이번 글의 핵심 주장이 나와요. 지금까지는 '취약점이 적게 나오는 소프트웨어'가 신뢰받았어요. 그런데 AI가 취약점을 대량으로 찾아내는 시대가 되면, 발견되는 취약점의 절대 개수는 어떤 프로젝트든 늘어날 수밖에 없거든요. 코드에 원래 있던 문제들이 더 빨리 드러나는 것뿐이니까요. 그러면 이제 중요한 건 '몇 개 발견됐느냐'가 아니라 '제보받고 얼마나 빨리 고쳤느냐'가 돼요. 보안 업계에서 말하는 MTTR(평균 수리 시간)이 신뢰의 핵심 지표가 되는 거죠. 90일 유예 같은 여유는 사치가 될 수 있어요. 내가 제보받은 그 취약점을, 공격자의 AI가 내일 독자적으로 찾아낼 수도 있는 세상이니까요. 취약점 발견은 자동화됐는데 수정은 여전히 사람 속도라면, 그 격차가 곧 공격 기회가 되는 거예요.
업계 맥락에서 보면
이 흐름은 이미 여러 곳에서 확인되고 있어요. 미국 DARPA는 AI로 취약점을 찾고 고치는 대회(AIxCC)를 열었고, AI 기반 자동 침투 테스트 스타트업들도 버그바운티 무대에서 사람 해커들과 경쟁할 만큼 성장했어요. 방어 쪽에서는 SBOM(소프트웨어 자재 명세서, 내 소프트웨어에 어떤 부품이 들어갔는지 목록화하는 것)이나 Dependabot, Renovate 같은 의존성 자동 업데이트 도구가 표준으로 자리 잡는 중이고요. 발견의 자동화에 맞서 수정도 자동화하자는 큰 그림인 거죠.
한국 개발자에게 주는 시사점
실무자 입장에서 점검해 볼 게 몇 가지 있어요. 첫째, 우리 서비스의 의존성 패치 주기예요. 취약점 공지가 뜨고 나서 실제 배포까지 며칠이 걸리는지 재본 적 있으신가요? 둘째, 취약점 제보를 받을 창구가 있는지예요. security.txt 파일이나 제보용 이메일 하나만 있어도 시작이 돼요. 셋째, 오픈소스를 운영하고 계시다면 보안 제보에 대응하는 절차를 미리 정해두는 게 좋아요. AI가 여러분의 저장소를 스캔해서 제보하는 일이 점점 흔해질 테니까요.
정리하면
'뚫리지 않는 소프트웨어'라는 환상 대신, '뚫려도 빨리 고치는 팀'이 신뢰받는 시대가 오고 있어요. 여러분의 팀은 치명적 취약점 제보를 받으면 몇 시간, 혹은 며칠 안에 패치를 배포할 수 있나요? 그 속도를 줄이기 위해 뭐부터 바꿔야 할지, 의견 나눠주세요.
🔗 출처: Hacker News