보안 연구에서 2026년 여름 ML 도구가 숨겨진 소프트웨어 결함을 대규모로 발견하면서 AI 발견 취약점이 급증할 것으로 경고함.

AI 강화 발견이 핵심 인프라 보안 사건 대응 부담을 가속화하며, 사이버보안 자본 투자를 필요한 AI 상쇄로 검증함.

업계 전문지Slicast · 2026년 6월 27일 06:59 UTC · 글로벌 · 출처: The Register

중요도 65

Chainguard의 CEO이자 공동 창립자인 Dan Lorenc에 따르면, 오픈 소스 코드의 취약점을 수정하는 임무를 맡은 보안 팀들에게는 "혼란스러운" 여름이 기다리고 있다. 소프트웨어 공급망 보안 기업인 Chainguard는 Athena라는 새로운 연합을 주도하고 있으며, 이 연합은 약 24개사로 구성되어 AI를 활용하여 오픈 소스 소프트웨어 공격을 방지하고 버그 발견 및 수정을 "가능한 한 쉽게 소비할 수 있도록" 만드는 데 전념하고 있다.

창립 멤버에는 BNY, Cisco, Cloudflare, Corridor, DepthFirst, Docker, JPMorganChase, Kyndryl, LTM, PwC가 포함된다. 이러한 기업 중 다수는 Anthropic의 Project Glasswing과 OpenAI의 Daybreak와도 파트너십을 맺고 있어 고급 버그 탐지 모델에 접근할 수 있다. Athena는 모든 프론티어 모델로부터 취약점 발견 정보를 받아들이며, 이미 20,000건 이상의 발견 사항을 처리하고 500개 이상의 오픈 소스 프로젝트에서 2,000개 이상의 패치를 개발했다. 이 연합의 첫 번째 버그 공개 파는 약 3주 후에 시작될 예정이다.

"Lorenc은 더 레지스터(The Register)와의 인터뷰에서 '모두에게 혼란스러운 여름이 될 것'이라고 말했다. Anthropic의 Mythos나 OpenAI의 GPT-5.5-Cyber와 같은 고급 프론티어 모델의 능력에 대한 회의론은 여전히 존재하지만, 데이터는 설득력 있다. "우리가 보고 있는 통계와 데이터는 매우 무서운 수준입니다. 동일한 라이브러리와 동일한 코드에 대해 스캔을 계속 실행하면 단순히 더 많은 [취약점]이 발견됩니다. 아직 그 곡선이 바닥을 치기 시작한 적이 없습니다."

이러한 모델을 애플리케이션 수준에서 실행할 때 문제의 규모가 명확해진다. 대부분의 현대 애플리케이션은 제3자로부터 제공되는 오픈 소스 코드가 약 95%를 차지한다. 고급 모델이 이 코드를 스캔하면 조직이 자체적으로 해결할 수 없는 오픈 소스 구성 요소에 막대한 양의 취약점이 발견된다.

"Lorenc은 설명하며 "동시에 수천 개의 이러한 [버그]를 발견하게 되며, 이는 이전에 이 도구를 실행하기 전에 사용하고 있었는지 조차 알지 못했던 수많은 프로젝트 전반에 걸쳐 있습니다. 또한 관련자에게 연락하는 방법조차 모르기 때문에 어쩔 수 없이 막히게 됩니다."라고 말했다. 이 과제는 CVE의 공개 발표와 확인된 악용 사이의 시간이 사실상 붕괴되었기 때문에 더욱 심화된다. "그러면 스스로를 위험에 빠뜨리게 됩니다. 물론 이러한 스캔을 실행하기 전부터 이미 위험에 처해 있었지만, 다른 사람들은 그것을 알지 못했습니다. 우연찮게도 [AI]는 모두를 이런 난처한 상황에 빠뜨렸습니다."

5월, Anthropic은 Mythos Preview를 사용하여 1,000개 이상의 오픈 소스 프로젝트를 스캔했으며, 추정치로 6,202건의 높음 또는 심각 수준의 취약점을 식별했다.

Athena는 취약점 홍수에 대한 정산소 역할을 한다. 회원사는 프론티어 모델을 통해 오픈 소스 코드에서 발견된 버그 보고서를 제출한다. Chainguard는 전체 라이브러리 전반에 걸쳐 발견 사항을 중복 제거하고 상관관계 분석하여 배치함으로써 개별 결함이 아닌 취약점 클래스를 해결한다. 영향을 받은 프로젝트는 공개 발표 한 달 전에 Chainguard Libraries를 통해 Athena 회원사에게 강화된 상태로 제공된다. 영구적인 수정 프로그램을 개발할 수 없는 유지 관리자의 경우, Athena는 '마지막 수단 유지 관리자'의 역할을 수행한다.

리눅스 재단(The Linux Foundation)은 AI 기반 위협으로부터 오픈 소스 소프트웨어를 방어하기 위해 설립된 산업 연합인 Akrites를 발표하며 이 노력을 확대했다. Akrites는 공유 보안 사고 대응 팀(SIRT)과 표준화된 조정 취약점 공개(CVD) 프로세스를 생성한다. 창립 기업에는 Amazon Web Services, Anthropic, Chainguard, Cisco, Citi, Endor Labs, Ericsson, Google, IBM, JPMorganChase, Microsoft and GitHub, Nvidia, OpenAI, RapidFort, Red Hat, Rust Foundation, Sonatype, Vodafone, Zscaler가 포함된다.

"Lorenc은 "AI가 더 많은 취약점을 발견함에 따라 업계는 이를 패치하기 위해 급박하게 움직일 것입니다. 조정 없이 이러한 수정 프로그램은 서로 다른 패치와 포크 사이에 분산될 것이며, 이미 과부하 상태이거나 연락이 두절되거나 몇 년 동안 프로젝트에 손을 대지 않은 유지 관리자들이 직면하게 될 것입니다."라고 말했다. 전용 SIRT은 유지 관리자에게 수백 건의 비조정 보고서를 처리하는 대신 공개 및 수정을 위한 단일 파트너를 제공한다. "이제 중요한 작업은 항상 상대방에서 이를 받아줄 사람이 있음을 보장하는 것입니다."

원문 보기