생성형 AI 취약점 과잉 경보 확산…한국 사이버 투자 체계 재편 압박

생성형 AI 취약점 과잉 경보 현실화…한국 사이버 투자·규제 재조정 압박

독일 연구팀이 코드 리포지터리 900만 개를 분석해 GPT-4·Gemini 등으로 수십만 개 취약점을 자동 탐지했으나 실제 악용 사례는 극히 일부에 그친다는 점이 드러나 AI 기반 취약점 진단의 정책적 활용 기준 설정이 시급하다.
연구에 따르면 AI가 발견한 취약점 다수는 오래돼 패치됐거나 현실적 공격 경로가 없어 통계상 ‘위험’으로 분류되지만 운영 환경에서는 무시 가능한 수준으로 평가돼 과잉 경보가 개발 생산성과 보안 담당자 피로도만 높이는 부작용을 낳고 있다.
논문은 AI가 900만 리포지터리에서 대규모 정적 분석을 수행해 취약점 수를 기하급수적으로 늘렸지만 실제 익스플로잇·PoC로 이어진 비율은 극소수라고 제시해 한국 정부의 침해사고 통계·위험등급 체계에 AI 진단 데이터 반영 시 정량·정성 필터 정책이 필요함을 시사한다.
국내 ‘정보보호 종합대책’과 인공지능 기본법 시행으로 공공·민간 시스템에 AI 보안 도입이 확대되는 상황에서 AI가 양산한 잠재 취약점을 모두 규제·점검 대상으로 삼을 경우 중소기업·스타트업 개발비용 급증과 산업 경쟁력 훼손이 초래될 수 있어 ‘실제 악용 가능성’ 중심의 위험기반 규제 설계가 요구된다.
AI가 코드 리뷰·취약점 탐지를 표준화하면 한국 보안 산업은 자동 분석 도구·AI 에이전트 기반 컨설팅·레드팀 서비스 등 새로운 시장을 선점할 기회가 커지는 동시에 국가 사이버안보전략 차원에서는 악용 빈도가 낮은 취약점보다 OT·클라우드·랜섬웨어 등 현실 공격 벡터에 집중하는 투자·인력 재배치가 필요하다.