Echo “AI가 취약점 더 빨리 찾지만, 지금은 수정 능력이 진짜 과제” 지적

AI가 취약점 탐지를 가속하지만, Echo는 ‘수정 역량’이 보안의 핵심 병목이라고 경고하다

• 소프트웨어 공급망 보안 기업 Echo는 신규 보고서를 통해 AI와 자동화로 취약점 탐지 속도·수량이 크게 증가했지만, 실제로 어떤 취약점을 우선 수정할지 결정하고 배포 환경에 반영하는 단계가 보안의 최대 병목이라고 분석한다.
• Echo는 조직들이 대규모 취약점 가시성을 확보한 ‘2단계’에 머물러 있으며, 탐지 도구에서 나오는膨대한 경고 중 실제로 악용 가능한 위험을 선별하는 의사결정과 이를 개발·운영 프로세스에 맞춰 수정하는 역량이 따라가지 못해 보호 수준이 개선되지 않는다고 진단한다.
• Echo의 보고서는 AI 기반 취약점 검색이 저렴하고 빠르게 확산되면서 알려진 취약점 대부분이 이미 탐지·패치 가능함에도, 검증·우선순위 설정·프로덕션 반영이 수동 작업에 의존해 확장되지 못해 공격자가 활용할 수 있는 ‘수정 지연 구간’이 구조적으로 확대되고 있다고 강조한다.
• Echo와 관련 연구는 AI 보조 도구가 취약점을 사람보다 빠르게 찾지만, AI가 자동으로 만든 수정 코드는 개발자 코드보다 최대 9배 더 많은 신규 취약점을 도입하는 등 품질 문제가 확인돼, 새 취약점을 양산하지 않으면서도 평균 80일에 이르는 패치 배포 지연을 줄이는 절차·도구 개선이 핵심 과제로 제시된다.
• Echo는 AI가 취약점 공개와 악용 사이 시간을 단축해 공격자 ‘기계 속도’ 활동을 가능하게 하는 반면, 다수 조직은 여전히 주 단위·월 단위의 인간 중심 수정 주기를 유지해 취약점이 이미 알려졌고 수정 가능함에도 실제 시스템에서는 수주 이상 노출되는 구조가 반복되고 있어 보안 전략의 초점 이동이 필요하다고 지적한다.
• 이 보고서는 한국에서도 AI 기반 탐지 도입을 ‘성과’로만 볼 것이 아니라, 개발·운영 전 과정에 위험 평가·우선순위 설정·자동 패치 검증·배포 체계를 통합하는 정책·표준을 마련하지 않으면 공공·민간 모두 취약점 경고는 늘지만 실제 보호 수준은 개선되지 않는 ‘탐지-수정 격차’가 구조화될 수 있다는 점을 시사한다.

AI 보안 도입 정책은 탐지 성능 향상뿐 아니라 수정·배포 역량 강화에 예산과 규제를 초점을 맞춰야 한다. 공공 시스템과 핵심 인프라에 대해선 취약점 우선순위 기준과 자동 패치 검증·배포 체계를 국가 차원에서 표준화하는 로드맵을 서둘러 마련할 필요가 있다.

주요 용어: 소프트웨어 공급망 보안(외부 라이브러리·패키지 등 소프트웨어 구성요소 전체의 보안 관리), 취약점 탐지와 수정 격차(AI 등으로 취약점 발견 속도는 빨라지지만 실제 수정·배포가 따라가지 못해 노출 기간이 길어지는 현상)

출처: Ynetnews