AI가 버그를 찾는 속도, 패치 속도를 앞지르다: Microsoft와 Anthropic의 사례

도입

소프트웨어 보안의 시간표가 AI로 인해 빨라지고 있다. Ars Technica가 ProPublica의 보도를 인용해 전한 내용에 따르면, Microsoft는 Anthropic의 Claude Mythos Preview를 활용해 주요 제품 코드에서 대량의 취약점을 발견하고 있다. 핵심 문제는 취약점을 찾을 수 있느냐가 아니라, 그 속도에 맞춰 수정할 수 있느냐다.

핵심 내용

• 취약점 발견 속도의 급증: 보도에 따르면 Mythos는 4월 한 달 동안 SharePoint에서만 90개의 “치명적” 취약점과 141개의 “중요” 취약점을 찾아냈다. 5월 상반기에도 더 많은 문제가 발견됐다. SharePoint는 정부와 기업에서 널리 쓰이는 협업·문서 관리 소프트웨어인 만큼 파급력이 크다.
• Microsoft의 우선순위 기반 패치: Microsoft는 먼저 치명적 및 중요 취약점에 집중하고, 이후 약 300개의 중간 심각도 취약점을 처리할 계획인 것으로 보도됐다. 회사는 악용 가능성과 고객 영향 등을 기준으로 우선순위를 정한다고 설명했다.
• 취약점 연결이 위험도를 바꾼다: 기사에서 언급된 중요한 변화는 Mythos가 여러 취약점을 연결하는 경로를 찾아낼 수 있다는 점이다. 각각은 낮거나 중간 수준으로 보이는 결함도 결합되면 훨씬 심각한 공격 경로가 될 수 있다.
• 공개 패치 규모도 커지고 있다: Microsoft의 Patch Tuesday 규모는 눈에 띄게 증가했다. 보도는 6월에 200개가 넘는 수정이 공개됐고, 7월 14일에는 600개가 넘는 취약점 패치가 나왔다고 전했다. 대부분은 중요 또는 치명적 등급이었다.

의미와 영향

이번 사례는 AI 보안의 양면성을 보여준다. 방어자는 공격자보다 먼저 취약점을 찾아 고칠 기회를 얻는다. 하지만 유사한 능력이 범죄 조직이나 국가 지원 해커에게 확산되면, 취약점 발견과 악용 사이의 간격도 빠르게 줄어들 수 있다.

소프트웨어 기업의 병목은 이제 발견이 아니라 검증, 수정, 회귀 테스트, 배포가 될 가능성이 크다. AI가 취약점 탐색을 고속화할수록 기존의 심각도 분류와 패치 릴리스 체계는 더 큰 압박을 받게 된다.

기업 사용자에게도 메시지는 분명하다. 패치 적용을 미루는 관행은 더 위험해질 수 있다. 단독으로는 덜 심각해 보이는 취약점도 다른 결함과 결합되면 공격 가능성이 커진다. 앞으로 보안팀은 심각도, 노출 범위, 악용 가능성, 연쇄 공격 경로를 함께 평가해야 한다.

이 이야기는 Microsoft만의 문제가 아니다. AI는 방어자의 도구를 강화하지만, 공격자도 곧 비슷한 도구를 가질 수 있다. 결국 우위를 점하는 쪽은 더 빨리 발견하는 조직이 아니라, 발견을 안전하고 신속한 수정으로 연결하는 조직이다.

출처: Ars Technica AI