"보안의 모호성 신화, AI가 끝냈다"… 수십 년 묵은 취약점 무더기 노출

더 레지스터(The Register)는 13일 AI 에이전트의 확산으로 '모호성을 통한 보안(security through obscurity)'이라는 오랜 관행이 사실상 무력화됐다고 보도했다. 시스템 구조나 취약점이 알려지지 않으면 안전하다는 전제가 AI 앞에서 무너졌다는 것이다.

더 레지스터에 따르면 소프트웨어 업체와 보안 연구자들이 AI 에이전트를 활용해 상용 제품과 오픈소스 코드에서 수십 년 묵은 버그까지 찾아내면서 보안 공개와 패치가 기록적인 수준으로 늘었고, 프로젝트 관리자들에게는 대규모 처리 적체가 쌓이고 있다. 브렛 레더먼 미 연방수사국(FBI) 사이버부문 부국장은 이 매체에 "10년간 검증돼 안전하다고 믿어온 라이브러리들을 최신 모델이 뚫고 '심각한 취약점이 있다'고 지적했다"고 말했다.

트렌드마이크로 제로데이 이니셔티브의 더스틴 차일즈는 마이크로소프트가 974건의 CVE를 처리한 패치 화요일을 언급하며 텔넷 클라이언트, 윈도 RNDIS, NFS 포트매퍼 등 "수년간 아무도 언급하지 않던 구성요소들"이 패치 목록에 올랐다고 밝혔다. 공격자들도 AI로 패치를 역분석해 몇 시간 만에 익스플로잇을 만들어내고 있으며, 미 5개 기관은 AI로 생성된 공격 스크립트가 상수도·제조·에너지 시설의 지멘스 S7 시리즈 PLC 침투에 사용됐다며 "이론적 위험이 아니라 진행 중인 위협"이라고 경고했다.

반면 방어 측 자동화는 뒤처져 있다. 더 레지스터가 인용한 1패스워드 연구에서 AI가 생성한 패치가 취약점을 온전히 해결한 비율은 26.0%에 그쳤고, 53.9%는 취약점을 못 고치거나 새 취약점을 추가했다. 베라코드 조사에서도 AI 생성 코드의 평균 보안 통과율은 56%에 머물렀다.