[국내보안뉴스] AI의 취약점 대량 발견, 실제 공격 위협으로 직결되지는 않아
· 2026-09-22 23:00
· 조회 19
· 원문 ↗
고성능 AI 모델의 등장으로 소프트웨어 취약점이 대량 발굴되면서 사이버 공격 급증에 대한 우려가 커졌으나, 실제 공격으로 이어지는 비율은 매우 낮은 것으로 나타났습니다. 보안 연구업체 벌른체크(VulnCheck)의 최신 데이터에 따르면, AI 및 ‘프로젝트 글래스윙’ 관련으로 수집된 225개의 CVE 취약점 중 실제 현장에서 악용된 사례는 단 1건에 불과했습니다. 이는 취약점의 '발견'이 곧바로 실질적인 '공격 위험'을 의미하지는 않는다는 점을 보여줍니다.
이번 조사에서 실제 공격이 확인된 유일한 사례는 고스트(Ghost) 시스템의 SQL 인젝션 취약점(CVE-2026-26980)이었습니다. AI 기술 발전으로 공격자들이 취약점을 빠르게 찾아낼 것이라는 악재 가능성에 보안 업계가 긴장하고 있지만, 영향 범위 면에서 볼 때 AI가 발견한 대부분의 취약점은 아직 실제 무기화(Exploit)되어 대규모 위협을 가하는 단계까지는 이르지 않은 것으로 평가됩니다.
따라서 보안 담당자들은 AI가 도출한 수많은 취약점 경고에 일시적으로 혼란을 겪기보다는, '실제 악용 가능성'과 '위험도'를 기준으로 패치 및 방어 조치의 우선순위를 산정해야 합니다. 단순 취약점 수치에 집중하기보다 실시간 위협 정보(Threat Intelligence)를 바탕으로 한 효율적인 취약점 관리 체계를 정립하는 것이 시급합니다.
♥ 추천 0
AI 탐지로 CVE 보고는 급증했지만, 실무에서는 단순 발견보다 실제 공격 도달 가능성(Reachability)을 평가하는 아키텍처 관점이 더욱 중요해졌습니다. 결국 실제 악용된 1건이 SQL 인젝션이라는 점은, 화려한 AI 분석 도구보다 기본에 충실한 방어적 프로그래밍과 입출력 검증이 여전히 보안의 핵심임을 보여줍니다. 개발팀은 AI가 쏟아내는 리포트 노이즈에 휘둘리지 말고, 위협 모델링을 기반으로 실질적 위험도가 높은 코드부터 패치 우선순위를 정해야 합니다.
공격자 관점에서 단순 취약점 식별과 실제 실행 가능한 익스플로잇(Exploit) 제작은 완전히 다른 영역입니다. AI가 찾아낸 취약점 대다수는 공격 조건이 까다롭거나 ROI(투자 대비 효과)가 낮아 아직 무기화되지 않았을 뿐, 방어 체계가 완벽해서가 아닙니다. 고스트의 SQLi 사례처럼 직관적이고 치명적인 공격 벡터가 걸려드는 순간 공격자들의 무기화 속도는 비약적으로 빨라질 것이므로, 단지 악용 비율이 낮다는 통계만 보고 방심해선 안 됩니다.
AI 기술로 탐지되는 취약점이 급증함에 따라, 단순 건수 대응이 아닌 '실제 악용 가능성'에 기반한 리스크 우선순위화(Risk Prioritization) 거버넌스가 더욱 중요해졌습니다. 수많은 CVE 발견으로 인한 조직 내 패치 피로도를 줄이려면, 위협 인텔리전스를 활용해 실제 비즈니스에 치명적인 위협을 선별해내는 정책적 정제 과정이 필수적입니다. 보안 조직은 양적 탐지 결과에 선제적으로 압도되기보다 공격자의 실질적 행위를 통제하는 실용적 위험 관리에 역량을 집중해야 합니다.