AI is breaking two vulnerability cultures

요약

본 기사는 소프트웨어 취약점 공개 및 대응 방식의 변화를 다루며, 특히 AI 기술의 발전이 기존 보안 문화에 미치는 영향을 분석합니다. 전통적인 '좌표 공개(coordinated disclosure)'와 '버그는 버그다(bugs are bugs)'라는 두 가지 상반된 접근법 사이에서 긴장감이 고조되고 있습니다. AI가 취약점 검색 및 코드 검토를 빠르고 저렴하게 만들면서, 기존의 장기간 비공개 기간(embargo)은 더 이상 효과적이지 않으며 오히려 위험을 증가시킬 수 있다는 결론을 내립니다.

핵심 포인트

• 전통적인 '좌표 공개' 방식은 발견된 버그를 사적으로 보고하고 수정 기간을 두는 것이지만, AI 시대에는 정보가 너무 빨리 퍼져 이 방식의 효과가 떨어지고 있습니다.
• '버그는 버그다' 문화처럼 신속하게 문제를 해결하려는 경향이 강해지면서, 보안 패치 검토 시 '신호 대 잡음 비율(signal-to-noise ratio)'이 높아졌습니다.
• AI 도구의 발전으로 취약점 검색 및 코드 분석 비용과 속도가 극적으로 향상되어, 과거에 유효했던 긴 비공개 기간(embargo)은 위험을 높일 수 있습니다.
• 필자는 보안 패치 공개 기간(embargo)이 점차 짧아져야 하며, AI가 공격자와 방어자 모두에게 영향을 미쳐 이 변화를 가속화하고 있다고 주장합니다.