2026년 취약점 관리 현황: AI를 통한 발견의 산업화

2026년 취약점 관리는 정말 힘든 한 해였습니다 📊

AI가 취약점을 찾을 수 있는지에 대한 논쟁은 끝났습니다. 이는 소규모 오픈 웨이트 옵션을 활용하는 것을 포함하여 연구소, 프론티어 모델(frontier models), 그리고 커뮤니티에 의해 확립되었으며, 발견 과정이 산업화되었습니다.

저는 올해의 흐름을 되짚어보고, 제가 작성한 내용과 인터뷰했던 분들의 이야기를 바탕으로 'State of the Union' 영상을 준비했습니다. 그 내용은 대략 다음과 같습니다:

• 1월에는 Daniel Stenberg가 AI 관련 잡다한(slop) 문제로 cURL의 버그 바운티를 중단시켰지만, 늦여름에는 AISLE™과 같은 팀들과 협력하여 Stanislav Fort 및 Ondrej Vlcek와 논의했던 것처럼 사전 검증된 보고서를 받고 있었습니다.

• 2월부터 6월까지 FIRST가 Jerry Gamblin이 예측한 수치는 자체 기준치를 크게 초과했습니다. 중간 연도 수치는 35,364건으로 전년 대비 49.5% 증가했지만, 사이버 보안 및 인프라 보안국(CISA) KEV에 등록된 건수는 단지 0.25%에 불과했습니다. (예: 발견은 증가했으나, 악용은 비교적 평탄합니다).

• 4월에는 Anthropic의 Project Glasswing이 출시되었고, 저와 다른 사람들은

그 밑바탕에는 Empirical Security의 KEV(Known Exploited Vulnerabilities) 취약점 목록 공백에 대한 연구, NIST NVD가 풍부화 작업에 주저하는 것, CISA의 BOD가 연방 기관들로부터 CVSS를 제거하는 것, Anthropic, Google 등에서 자율적 익스플로잇(autonomous exploitation) 증가와 Adrian Sanabria의 침해 경제학(breach economics)에 대한 연구가 놓여 있습니다.

올해는 취약점 발견이 산업화되었지만, 복구 역량은 그대로였고, 이 격차가 지금 모든 일입니다. 실무자들을 위한 몇 가지 권장 사항으로 마무리하겠습니다.

정말 흥미로운 여정이었습니다. 2027년은 훨씬 더 흥미로울 것이라고 생각합니다.