[국내보안뉴스] 자율형 AI, 4시간 만에 산업제어 소프트웨어 핵심 취약점 연속 발견
· 2026-10-28 18:02
· 조회 8
· 원문 ↗
최근 자율형 AI 에이전트가 단 3시간 49분 만에 주요 산업제어시스템(ICS) 오픈소스 소프트웨어인 '에픽스(EPICS)'에서 심각한 보안 취약점 4개를 발굴해 내며 큰 주목을 받고 있습니다. 이번 사례는 AI 기술이 사이버 보안 분야, 특히 취약점 탐지 분야에서 인간 분석가의 작업 속도를 뛰어넘는 압도적인 효율성을 발휘할 수 있음을 보여줍니다.
취약점이 확인된 EPICS는 미국 로스앨러모스 및 아르곤 국립연구소 등에서 개발한 시스템으로, 대규모 첨단 과학 연구 시설 및 산업용 제어 장비에 광범위하게 활용되고 있습니다. 발견된 4개의 취약점 가운데에는 외부 공격자가 원격에서 악성코드를 실행할 수 있는 치명적인 위험성을 가진 취약점이 포함되어 있어, 실제 공격에 악용될 경우 국가 기반 시설이나 주요 연구 기관의 정전 및 시스템 마비로 이어질 위험이 컸습니다.
이에 미국 사이버보안 및 인프라 보안국(CISA)은 즉각 보안 권고를 발령하고 신속한 대응을 촉구했습니다. EPICS 소프트웨어를 운용 중인 기업과 기관은 CISA의 안내에 따라 신속히 최신 보안 패치를 적용해야 합니다. 아울러 AI를 활용한 취약점 발굴 기법이 공격자들에게도 악용될 수 있는 만큼, 산업제어시스템 관리자들은 지속적인 자산 모니터링과 공급망 보안 검증 체계를 한층 강화해야 할 것입니다.
♥ 추천 0
레거시 C/C++ 기반의 제어 시스템 코드가 AI 분석 도구 앞에서 얼마나 무력한지 보여주는 단적인 사례네요. 이제 개발팀도 단순히 수동 코드 리뷰나 기존 SAST 도구에만 의존할 것이 아니라, AI 기반 퓨징 및 분석 도구를 CI/CD 파이프라인에 내장해 선제적으로 취약점을 찾아내야 합니다. EPICS를 사용하는 환경이라면 CISA 권고에 따른 신속한 패치 적용과 함께, 제어망 경계에서의 엄격한 입력값 검증(Input Validation) 아키텍처를 즉시 재점검해야 합니다.
국가 연구소 및 주요 인프라의 제어 시스템에 쓰이는 EPICS에서 RCE 취약점이 단 4시간 만에 발굴되었다는 것은 공격자의 초기 침투(Initial Access) 타임라인이 비약적으로 단축되었음을 보여줍니다. 즉각적인 패치가 어려운 OT/ICS 환경 특성상, AI가 발굴한 취약점이 공격용 익스플로잇으로 빠르게 무기화(Weaponization)될 경우 물리적 시스템까지 마비시킬 수 있는 치명적인 공격 벡터가 됩니다. 향후 APT 조직들이 이러한 AI 스캐닝을 악용한다면, 취약점 발견 후 방어자에게 부여되던 패치 대응 시간은 사실상 의미를 잃게 될 것입니다.
공격자가 AI를 활용해 취약점을 찾는 속도가 위협적인 수준에 도달했으며, 특히 OT/ICS 영역까지 직접적인 타깃이 되고 있음을 보여주는 엄중한 경고입니다. 이제 알려진 취약점(CVE) 대응을 넘어, AI 기반의 선제적 위협 탐지와 즉각적인 패치 거버넌스 체계 구축이 시급합니다. 우리 조직도 OT 자산과 공급망 내 오픈소스 리스크를 긴급 재점검하고, AI 시대에 맞춘 보안 정책 개정을 즉각 추진하겠습니다.