“공격 준비 10분 컷”... ‘AI 기반 선제 대응’으로 패러다임 전환

2026년 CVE 6만6000건 전망... 악용 확인된 취약점 29%가 당일 무기화
미국 ‘3일 패치’, EU ‘24시간 보고’ 등 주요국 위험 기반 속도전 돌입
KISA 취약점관리센터 가동해 발굴부터 전파까지 전 주기 일원화로 대응

AI 자율 탐지 도구 확산으로 소프트웨어 취약점 생태계가 폭발적으로 팽창하면서 보안 조직의 대응 시간에 비상이 걸렸다. 이에 한국인터넷진흥원(KISA)은 AI 기술을 선제적으로 접목한 취약점관리센터 중심의 일원화된 방어 체계를 전면 가동한다고 22일 밝혔다.

[출처: gettyimagesbank]

KISA에 따르면, 2026년 한 해 새롭게 공개될 취약점(CVE)은 6만6000건에 달할 전망이다. 이는 2023년(2만9066건) 대비 2배 이상 급증한 수치다. 국제 침해사고 대응 협의체 '퍼스트'(FIRST) 역시 AI 도구 확산을 근거로 연초 전망치보다 46.3% 상향 조정했다.

문제는 단순 취약점 발견 건수가 아닌 무기화 속도에 있다. 과거 수일에서 수주가 걸리던 익스플로잇(Exploit) 코드 개발이 AI를 거치며 10분 미만으로 단축됐다. 실제로 2025년 악용된 취약점의 29%는 대중에 공개된 당일 또는 그 이전에 선제 타격에 사용됐다. 반면 방어 기업들의 평균 패치 소요 시간은 43일로 오히려 늘었다. 국내도 올해 상반기 침해사고 신고가 전년 동기 대비 19.5% 증가했으며, 장기간 방치된 미조치 취약점이 주된 침투 경로로 지목됐다.

글로벌 보안 선진국들은 이미 '위험 기반 속도전'으로 방향을 틀었다. 미국 사이버인프라보안국(CISA)은 구속력 있는 운영지침(BOD 26-04)을 발동해 악용이 확인된 고위험 취약점은 '3일 내 조치'하도록 의무화했다. 유럽연합(EU)은 '사이버복원력법'(CRA)을 통해 악용 중인 취약점을 인지한 후 24시간 내 조기 경보를 제출하도록 조치했다.

이에 대응해 우리 정부와 KISA는 'AI 기반 사이버위협 대응 민간 정보보호 추진계획'을 가동했다. KISA 취약점관리센터는 취약점 정보포털(KNVD)을 중심으로 발견부터 검증, 조치 지원, 전파까지의 전 주기를 하나로 엮는 정보 허브 역할을 한다.

▲KISA의 AI 기반 점검 실증 현황 [출처: KISA]

보안 체계로서의 AI 실증 작업도 본격화됐다. KISA는 과학기술정보통신부와 함께 오픈AI의 협력 프로그램에 참여해 'GPT-5.5 사이버' 모델로 국가 기반 시설의 웹페이지와 상용 소프트웨어 취약점을 점검 중이다. AI가 도출한 의심 항목 중 50~60%가 유효한 취약점으로 검증됐으며, 전문가가 수주에서 길게는 한달 넘게 매달리던 분석 작업을 일주일 이내로 줄였다.

기업의 자율 보안 역량도 강화한다. KISA는 전수 패치가 아닌 악용 확률 점수(EPSS)와 소프트웨어 구성명세서(SBOM) 기반의 공급망 추적을 통해 치명적인 취약점을 선별·우선 조치할 것을 권고했다. 또, 화이트해커와 기업이 협력하는 '조정된 취약점 공개'(CVD) 및 포상제(VDP) 시범사업을 통해 안전한 민간 공조 생태계를 확립할 계획이다.

배승권 KISA 취약점관리센터장은 "공격자가 AI를 통해 취약점 탐색과 무기화를 자동화하는 시대에, 방어자 역시 속도전을 위해 AI를 도구로 적극 활용해야 한다"며 "모든 것을 일률적으로 막는 것이 아니라, 인터넷에 노출된 자산 중 위험도 높은 취약점을 우선 선별하고 신속하게 조치하는 기본기가 기업 보안의 성패를 결정지을 것"이라고 말했다.