AI 기반 버그 사냥이 CVE 수를 두 배로 늘리고 패치 제공에 초점을 이동

CVE.icu가 관리하는 공개 CVE 데이터베이스는 2026년 9월 16일에 66 401개의 항목을 기록했으며, 이는 2025년 같은 날의 33 512건에서 증가한 수치이며, Wired에 따르면 1년 만에 거의 두 배에 달하는 취약점이 공개된 것이다.

이 급증은 코드베이스, 바이너리 및 오픈소스 저장소를 대규모로 스캔하는 자율 탐지 에이전트 덕분이다. 취약점 식별 조정 기관인 FIRST는 2026년 전체 CVE 항목을 약 66 000건으로 전망했으며, 가속화의 일부를 AI 기반 도구에 직접 연결했다.

수치를 움직이는 요인

AI 외에도, 오래된 미등록 결함이 소급하여 카탈로그에 추가되고 GitHub 보안 권고 및 VulnCheck과 같은 새로운 권고 소스가 범위를 확대하면서 증가 효과가 나타난다.

Mozilla는 Anthropic의 Mythos 모델을 활용한 최근 보안 캠페인을 통해 271개의 Firefox 취약점을 발견했다고 발표했다. 이 사례는 대형 언어 모델이 전통적인 퍼징 및 코드 리뷰 기법을 보강할 수 있음을 보여준다.

패치 생산이 보조를 맞춘다

공급업체들은 발표된 수정 패치 수가 눈에 띄게 늘어나고 있다. Microsoft는 9월에 974개의 패치를, Oracle은 7월에 1 448개의 업데이트를, Google은 6월에 Chrome 주요 버전 두 차례를 합쳐 1 072개의 패치를 각각 출시했다고 Wired가 보도했다.

• Microsoft – 974개 패치 (2026년 9월)
• Oracle – 1 448개 패치 (2026년 7월)
• Google Chrome – 1 072개 패치 (2026년 6월)
• Mozilla – Mythos를 통해 발견된 271개 취약점

이 수치는 발견 속도가 가속화되는 한편, 복구는 여전히 인력이 많이 요구되는 과정임을 보여준다. 공개를 조정하고, 패치를 테스트하며, 최종 사용자에게 전달하는 과정은 숙련된 엔지니어와 잘 조직된 대응 팀에 의존한다.

발견‑복구 격차가 초래하는 운영 위험

조직이 직면한 주요 위험은 CVE 총량 자체가 아니라 자동 탐지와 패치를 개발·테스트·배포하는 데 걸리는 시간 차이다. 해결되지 않은 취약점이 쌓이면 핵심 자산에 대한 노출 기간이 확대될 수 있다.

또한 알려진 결함이 많아지면서 보안 운영 센터의 업무량이 증가한다. 이들은 알림을 선별하고, 악용 가능성을 검증하며, 촉박한 일정 안에서 복구 우선순위를 정해야 한다.

활발히 악용되거나 고위험 CVE 비율은 전체에 비해 작은 편이지만, 유지보수 담당자가 검증·조정·배포를 수행해야 하는 압박은 커져 기존 보안 인력 수준을 초과하고 있다.

CVE.icu 대시보드는 6시간마다 업데이트되며 28년 동안 300 000건이 넘는 항목을 포함해 거의 실시간 가시성을 제공하지만, 동시에 취약점 생태계 규모가 급증하고 있음을 강조한다.

AI 기반 취약점 스캐너가 급증한 CVE 수치를 만들어내는 메커니즘을 살펴보면, 자동화된 코드 분석, 정적 및 동적 테스트, 그리고 대규모 오픈소스 저장소에 대한 지속적 크롤링이 핵심적인 역할을 한다는 점을 확인할 수 있다. 이러한 탐지 파이프라인은 인간이 수행하던 수작업 검토를 대체하거나 보완함으로써 탐지 속도를 비약적으로 끌어올린다. 그러나 자동화된 탐지는 본질적으로 오탐률과 누락 위험을 내포하고 있기 때문에, 탐지 단계에서 얻어진 결과를 인간 전문가가 재검증하는 과정이 필수적이다. 따라서 AI가 제공하는 초기 후보군은 탐지 효율을 높이지만, 최종적인 취약점 확정에는 여전히 인간의 판단이 필요하다는 한계가 존재한다. 이 한계는 탐지 단계와 복구 단계 사이의 격차를 확대시킬 위험이 있다.

AI가 주도하는 취약점 식별이 증가함에 따라, 기존 보안 운영 체계의 검증 절차가 압박받는다. 자동화된 도구가 제시하는 수천 건의 잠재적 CVE를 모두 검증하려면, 보안 분석가들은 높은 우선순위와 위험도에 따라 선별 작업을 수행해야 한다. 이 과정에서 흔히 사용되는 정량적 위험 점수와 컨텍스트 기반 판단이 결합되지만, AI가 제공하는 데이터의 양과 다양성이 커짐에 따라 기존 점수 체계가 충분히 세밀하지 못할 가능성이 있다. 따라서 검증 프로세스의 정확성을 확보하기 위해서는 AI 모델의 출력에 대한 메타데이터, 신뢰도 지표, 그리고 과거 패턴과의 비교 분석이 필요하며, 이러한 추가 검증 단계가 없을 경우 오탐으로 인한 리소스 낭비가 발생할 위험이 있다.

패치 생산 측면에서 AI가 탐지를 가속화함에 따라, 공급업체는 패치 개발 주기를 단축하려는 압박을 받는다. 빠른 패치 배포를 위해서는 자동화된 빌드와 테스트 파이프라인이 필수적이며, 이를 위해 지속적 통합·지속적 배포(CI/CD) 환경에 보안 검증을 삽입하는 것이 일반적인 접근법이다. 그러나 자동화된 테스트가 모든 환경과 구성에 대한 완전한 커버리지를 제공하기는 어렵다. 따라서 패치가 실제 운영 환경에 적용될 때 발생할 수 있는 회귀나 부작용을 최소화하려면, 인간 엔지니어가 수행하는 사전 검증 및 단계적 롤아웃 전략이 병행되어야 한다. 이러한 절차적 보완 없이는 패치 자체가 새로운 취약점을 초래하거나 서비스 가용성을 저해할 위험이 존재한다.

AI 기반 탐지와 패치 배포 사이의 시간 차이가 확대될 경우, 조직은 ‘취약점 폭증’이라는 현상보다 ‘취약점 노출 기간’이 더 큰 위협에 직면한다. 탐지된 CVE가 실제로 악용되기까지 걸리는 시간은 패치가 배포되고 적용되는 속도에 직접적으로 비례한다. 따라서 탐지 속도가 빨라질수록, 그에 맞춰 패치 관리 프로세스를 신속히 조정하지 못하면 공격자가 취약점을 활용할 수 있는 창이 더욱 넓어지게 된다. 이는 특히 고위험 서비스와 핵심 인프라에 대한 방어를 약화시켜, 장기적인 보안 회복력에 부정적인 영향을 미친다. 조직은 이러한 위험을 완화하기 위해 탐지‑복구 사이클을 실시간에 가깝게 맞추는 전략적 목표를 설정해야 한다.

AI 도구의 효과성을 검증하기 위해서는 탐지된 취약점의 실제 악용 사례와 대응 속도를 정량적으로 측정하는 메트릭이 필요하다. 예를 들어, 탐지 후 일정 기간 내에 패치가 적용된 비율, 오탐률, 그리고 탐지된 취약점 중 실제 공격으로 이어진 비중 등을 지속적으로 모니터링함으로써 AI 시스템의 실질적인 보안 기여도를 평가할 수 있다. 이러한 검증 프레임워크가 부재하면, AI 도입이 단순히 ‘숫자 게임’에 머무를 위험이 있다. 따라서 조직은 내부 감사와 외부 검증 절차를 결합해 AI 기반 스캐너의 성능을 주기적으로 검토하고, 필요 시 모델 재학습이나 파라미터 조정을 통해 정확성을 유지해야 한다.

실제 현장에서는 AI가 제공하는 방대한 데이터 흐름을 효율적으로 활용하기 위해 인력과 프로세스의 재구성이 요구된다. 보안 팀은 탐지 결과를 신속히 분류하고, 패치 우선순위를 정하며, 공급업체와의 협업 체계를 자동화된 티켓 시스템과 연동해야 한다. 또한, 조직 전반에 걸쳐 보안 인식과 교육을 강화해 인간‑AI 협업 모델을 정착시키는 것이 중요하다. 이러한 전환이 성공하면, 탐지 속도와 복구 속도의 격차를 최소화하고, 전체 보안 태세를 지속 가능한 수준으로 끌어올릴 수 있다. 반대로, 인력 및 절차적 준비가 미흡한 경우 AI가 오히려 과부하를 유발하고, 보안 운영의 복잡성을 증가시켜 전반적인 위험을 확대시킬 수 있다.

한국어 사용 조직에게 실질적인 의미는 보안 전략이 탐지 중심에서 자동화된 패치 관리, 빠른 테스트를 포함한 지속적 통합 파이프라인, 그리고 공급업체 권고와의 강력한 협업으로 이동해야 한다는 점이다. 지금 회복력을 구축하려면 인간과 절차적 역량이 AI 기반 발견 속도에 맞춰 패치를 적용할 수 있어야 한다.