"기계가 기계 해킹하는 시대"…취약점 발견 해커 1위에 AI 챗봇

미국 시애틀 소재 '크로스보', 해커원 리더보드 미국 1위 차지

해커원 리더보드 미국 1위 차지한 크로스보 (서울=연합뉴스) 미국 워싱턴주 시애틀에 본사를 둔 업체 '크로스보'(Xbow)가 보안취약점을 발견해 보고한 해커들의 순위인 '해커원 리더보드'에서 미국 1위를 차지했다며 올린 게시물. 이 회사 보안부문장 니코 웨이스먼은 "버그 현상금 역사상 최초로 자율 침투 테스터(autonomous penetration tester)가 미국 순위에서 1위를 차지했다"고 강조했다. [크로스보 홈페이지 캡처. DB 및 재판매 금지] 2025.6.25.

(서울=연합뉴스) 임화섭 기자 = "기계들이 기계들을 해킹하는 시대"가 열렸다.

미국 워싱턴주 시애틀에 본사를 둔 '크로스보'(Xbow)은 자사의 인공지능(AI) 챗봇이 '해커원 리더보드'(HackerOne Leaderboard)에서 1위를 차지했다고 24일(현지시간) 밝혔다.

해커원 리더보드는 보안취약점을 발견해 보고한 해커들의 평판 순위 명단으로 유명하다.

해커원 홈페이지에 따르면 올해 4∼6월 취약점 공개 프로그램(VDP·Vulnerability Disclosure Program) 부문 순위에서 크로스보는 1천940점으로 인간 해커들을 제치고 세계 1위를 차지했다.

버그 현상금 프로그램(BBP·Bug Bounty Program) 부문까지 합한 종합순위에서는 최상위권의 인간 전문가들에게 밀려 4천174점으로 세계 6위에 그쳤으나, 미국 내 순위는 1위였다.

BBP와 VDP는 현상금이 걸려 있는지 여부의 차이가 있다.

이 회사의 보안부문장 니코 웨이스먼은 "버그 현상금 역사상 최초로 자율 침투 테스터(autonomous penetration tester)가 미국 1위를 차지했다"고 강조했다.

그는 자사 제품이 AI로 동작하는 '완전 자율형'의 '동작 침투 테스터'라고 설명했다.

'침투 테스터'는 이른바 '화이트해커'의 일종으로, 악의적인 목적이 아니라 전산시스템의 취약점을 발견하고 보안을 개선할 목적으로 시스템에 대한 사이버공격 상황을 시뮬레이션하는 전문가다.

인간 전문가를 고용해 침투 테스트를 하려면 단일 시스템에 한 차례 실시하는 데만도 몇 주가 걸리며 비용도 평균 1만8천 달러(2천400만원)에 이르기 때문에 자주 실시하기가 어렵다.

해커원 리더보드 미국 1위 차지한 크로스보 (서울=연합뉴스) 보안취약점을 발견해 보고한 해커들의 평판 순위 명단으로 유명한 '해커원 리더보드'의 올해 4∼6월 순위에서 미국 워싱턴주 시애틀에 본사를 둔 크로스보(Xbow)의 인공지능(AI) 챗봇이 미국 1위를 차지했다. [해커원 홈페이지 캡처. DB 및 재판매 금지] 2025.6.25.

크로스보는 인간으로부터 입력을 받을 필요 없이도 마치 인간 침투 테스터처럼 동작해 몇 시간 만에 종합적 침투 테스트를 완료할 수 있다는 것이 웨이스먼의 설명이다.

크로스보 창업자 겸 최고경영자(CEO)인 우허 더모르 옥스퍼드대 모들린 칼리지 전산과 교수는 블룸버그통신에 '침투 테스트를 연속적으로 혹은 적어도 조금 더 빈번하게 실시하려는 고객'이나 '새 제품이나 시스템의 실제 가동을 앞둔 고객'을 자사 침투 테스터 챗봇의 고객층으로 생각하고 있다고 설명했다.

그는 "이런 과정을 자동화함으로써 방정식을 완전히 바꿔놓을 수 있다"며 전산시스템이 실전에서 가동되기 전에 취약점을 찾아내는 것이 가능하게 될 것이라고 말했다.

유명 벤처캐피털 NFDG의 공동창업자인 냇 프리드먼 전 깃허브 CEO는 크로스허브의 제품이 "지금 제대로 작동하는 것을 보니 멋진 일이지만 한편으로 무섭기도 하다"며 "기계들이 기계들을 해킹하는 시대가 됐기 때문"이라고 말했다.

더모르 크로스보 CEO는 2006년에 코드 분석 플랫폼 '젬러'(Semmle)를 만들었으며 2019년에 이를 마이크로소프트 자회사인 깃허브에 매각했다.

블룸버그통신에 따르면 작년 1월에 설립된 크로스보는 최근 앨티미터 캐피털이 주도하고 세쿼이아 캐피털과 NFDG가 참여한 새 펀딩 라운드를 통해 7천500만 달러(1천억 원)의 투자를 받았다.

회사 측은 투자를 받을 당시 기업가치 평가액이 얼마였는지는 공개할 수 없다고 블룸버그통신에 답했다.

solatido@yna.co.kr

▶제보는 카톡 okjebo