2026년 상반기 인공지능(AI)과 관련한 가장 기억에 남는 키워드 하나를 꼽으라면 아마도 미토스(Mythos)일 것이다. 클로드 미토스 프리뷰는 앤트로픽이 공개한 보안 분석 특화 AI 모델로, 수십년간 찾지 못했던 치명적인 제로데이 취약점도 단숨에 찾을 낼 수 있었다. 소스코드 내 취약점을 스캔하는 AI의 능력을 세상에 보여주는 동시에 악용하고자 하는 이들에게는 강력한 무기를 보여준 셈이다.
이제 AI 모델이 수백만 줄의 코드를 단시간에 분석해 제로데이 취약점을 찾아내거나, 새롭게 공개된 취약점을 불과 몇초 만에 악용 가능한 형태로 전환할 수 있는 시대다. 실시간 보안 지표를 제공하는 사이트인 제로데이 클락에 따르면, 취약점 발견 이후 악용까지 걸리는 시간이 2024년 평균 56일에서 이제는 10시간으로 단축됐다.
현재 우리 모두가 직면한 가장 큰 도전과제는, 근본적인 초점을 전환해야 하는 시점이라는 것이다. 이전에는 취약점에 대응할 수 있는 시간이 넉넉했기 때문에 취약점을 발견하는 것에 집중할 수 있었다. AI가 공격 프로세스 자체를 자동화하는 능력까지 갖추고 있는 지금, 바로 대응할 수 있도록 초점을 바꿔야한다.
이를 위해선 먼저 대응기반을 갖춰야 한다.
기본적으로 AI 운영환경도 여타 정보기술(IT) 환경와 크게 다르지 않다. 운영의 안정성을 보장할 탄탄한 기반이 필요하다. 애플리케이션 자체의 공격을 방지하는 것도 중요하지만, 기반이 되는 플랫폼과 인프라의 안정성이 먼저 확보돼야 보안 관련 문제가 발생할 여지가 줄어든다. 검증된 엔터프라이즈급 운영체제의 경우, 새로운 위협이나 취약점에 대한 검증된 대응 방안을 제시하고 있다. 하지만 이것도 제공되는 패치 및 업데이트를 적시에 실행하지 않으면 문제가 발생할 여지를 그대로 남겨둔다.
AI 확산으로 취약점을 악용할 수 있는 시간은 줄어들고 있지만, 취약점이 발견된 시점부터 실제로 대응하기까지의 공백 기간은 여전히 길다. 사이버보안 솔루션 업체 엣지스캔의 조사에 따르면, 대규모 조직에서 발견된 취약점의 45%는 12개월이 지난 후에도 패치없이 그대로 남아 있다고 한다. 기업 입장에서는 보안 업데이트 패치를 제때 적용하기 어려운 것이 현실이지만, 기반이 되는 운영체제부터 업데이트 및 패치가 제대로 이뤄지지 않으면 리스크로부터 자유로울 순 없다는 걸 잊으면 안 된다.
기반을 갖췄다면, 접근 방식을 바꿔야 한다. 특정 기술이나 방식에 전적으로 의존해서는 안 된다.
기업의 IT팀이 일일이 수작업으로 취약점을 분류하고 대응한다면, 핵심과제인 AI 도입 및 혁신까지 추진하는 것은 불가능에 가깝다. 기존의 프로세스는 보안 위협에 따라가는 데 구조적인 한계가 있기 때문이다.
여기서 필요한 것이 오픈소스의 주요 가치라고 할 수 있는 협업으로 일궈낸 집단지성의 힘을 활용하는 것이다. 여느 현대 IT환경이든 단일 솔루션이나 방식으로 할 수 있는 건 매우 제한적이다. 앤트로픽 역시 미토스 공개와 함께 사이버보안 프로그램인 프로젝트 글래스윙을 발족하고, 참여 기업과 기관을 확대하고 있다.
고무적인 건 미토스가 등장하기 전부터 이미 여러 기업에서 AI 기반의 취약점 분석을 하고 있었다는 것이다. 레드햇의 경우도 기여하고 있는 오픈소스 커뮤니티에 올 수 있는 잠재적 취약점에 대응을 위해 AI를 활용해왔다. 그리고 올해 IBM과 함께 라이트웰을 출시했다. 외부 노출이 많아 공격 표면은 넓지만 엔터프라이즈급 기술 지원을 받기에 부족했던 자바와 파이썬 등 오픈소스 애플리케이션 라이브러리의 보안 취약점에 대해 고객별 맞춤형 대응 체계를 제공하기 위해서다.
라이트웰은 IBM과 레드햇이 AI 기반의 스캔 및 대응하며 축적한 정보를 공유하는 것에서 시작된다. 유사한 문제가 생길 수 있는 다양한 오픈소스 패키지들을 검토하고, 보유한 보안 소프트웨어 공급망 역량을 활용해 잠재적인 취약점을 공유하는 것이다. 모든 결과는 오픈소스 커뮤니티에 공유된다. 이를 통해 기대할 수 있는 효과는 단순하지만 분명하다. 일례로 서로 다른 여러 기업이 동일한 리스크에 노출되었을 때, 각 기업이 개별적으로 대응하는 대신 하나의 창구를 통해 한번에 대응할 수 있다.
미토스 사태가 우리에게 보여준 것이 있다면, 이것이 미래에 일어날 일이 아니라는 것이다. 이미 일어나고 있는 현실이다. 새로운 기술이 등장할 때마다 일일이 대응하는 것은 한계가 있다. 변화하는 위협에 지속적으로 대응할 수 있는 기반과 체계를 미리 갖추는 것이 무엇보다 중요한 시기다.
김경상 한국레드햇 사장 kyekim@redhat.com
