인공지능(AI) 보안 공익 이니셔티브 '프로젝트 캐노피'는 오픈소스 소프트웨어의 보안 취약점과 패치 정보를 제공하는 '취약점 인텔리전스 허브'를 4일 공개했다.
취약점 인텔리전스 허브는 프로젝트 캐노피 연구팀이 검증한 취약점과 위험도, 공식 패치 및 보안 권고문을 통합 제공하는 플랫폼이다. 참여 기관과 기업은 자사 시스템에서 사용하는 오픈소스의 취약점과 패치 현황을 확인하고 보안 조치에 활용할 수 있다.
취약점 위험도는 공통 취약점 평가 시스템(CVSS), 악용 가능성 예측 점수(EPSS), 실제 악용이 확인된 취약점 목록(KEV) 등을 활용한다.
EPSS는 공개된 취약점이 향후 30일 이내 실제 공격에 악용될 가능성을 예측하는 지표다. KEV는 미국 사이버보안·인프라보안국(CISA)이 실제 악용 사실을 확인한 취약점을 정리한 목록이다.
프로젝트 캐노피는 앞서 전자정부 표준프레임워크(eGovFrame)를 비롯해 스프링 프레임워크, 도커, 그라파나 등 주요 오픈소스를 분석했다. 이 과정에서 다수의 취약점 후보를 발견해 개념증명(PoC)을 완료했으며, 고위험 취약점을 포함한 분석 결과를 각 프로젝트 개발·관리자에게 제보했다. 일부 취약점은 조치가 완료됐으며 나머지는 공식 패치 일정에 맞춰 순차 공개할 예정이다.
참여 기관이 점검이 필요한 오픈소스를 직접 제안하는 방식도 도입했다. 연구팀은 사용자 규모와 보안 사각지대 여부, 사회적 필요성 등을 평가해 분석 대상을 선정한다. 향후 공공기관과 지방자치단체를 넘어 의료·교육 분야로 협력을 확대할 계획이다.
박세준 프로젝트 캐노피 위원장은 “공격자가 AI의 속도로 취약점을 파고드는 환경에서 방어자 역시 선제적으로 AI 역량을 투입해 위협을 먼저 제거해야 한다”고 말했다.
박진형 기자 jin@etnews.com
