[IT백과] AI 무기 쥔 해커, 취약점이 쏟아진다…'벌너포칼립스' 등장 작성일 08-31 18 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="QnkoMqkLT7"> <div contents-hash="04c8ce408baacffeec5fd818c2f45aae800837cce3676f32a45bdd965de74939" dmcf-pid="xLEgRBEoCu" dmcf-ptype="general"> <strong>정보기술(IT) 영역에 관한 모든 지식을 압축해 풀이합니다. IT산업에 꼭 필요한 용어들을 소개하고, 살펴보면 좋을 쟁점들도 정리합니다. IT가 처음인 입문자라면 혹은 동향을 알고 싶은 전문가라면, 디지털데일리 'IT백과'를 참고하세요. <편집자주></strong> </div> <figure class="figure_frm origin_fig" contents-hash="c5bacff1188162a74405c8edb8da05d130161b09825fe34cc82b2dac89b1138b" dmcf-pid="y1zFYwztlU" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/31/552796-pzfp7fF/20260831133751748thlz.png" data-org-width="640" dmcf-mid="6PP9UyPKvq" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/31/552796-pzfp7fF/20260831133751748thlz.png" width="658"></p> </figure> <p contents-hash="dd1dfb58bd9f39348652cf3d698b14a7294406b68957b888a1cb6149386fddd2" dmcf-pid="Wtq3GrqFCp" dmcf-ptype="general">[디지털데일리 김보민기자] 고위험 취약점 탐지에 능한 인공지능(AI) 모델 '미토스'가 등장한 이후 보안업계 화두로 '<strong>벌너포칼립스(Vulnpocalypse)</strong>'가 떠올랐다. 취약점을 뜻하는 영단어 '벌너러빌리티(Vulnerability)'와 대재앙을 뜻하는 '아포칼립스(Apocalypse)'를 합성한 이 신조어는 소프트웨어 취약점이 보안 실무진이 감당하기 힘들 정도로 폭증하는 현상을 뜻한다.</p> <p contents-hash="52f0a4c70ff49757d3bf969a9289ca7d99b9c297f084bdf2a1af848062477ef0" dmcf-pid="YAOkLfOch0" dmcf-ptype="general">데이터를 보면 심각성을 알 수 있다. 트렌드마이크로가 7월 인용한 'FIRST 2026년 반기 취약점 예측 보고서' 전망치를 보면, 2026년 한 해 동안 약 6만6000개 일반취약점및노출(CVE) 건수가 공개될 전망이다. 역대 최고치를 기록한 2025년(4만8185개)보다 많은 수준이다. 2024년 4만개 수준에서 상승 곡선을 그리는 현상은 보안 담당자 입장에서 부담이 되고 있다.</p> <div contents-hash="a905919d2402b6543555f7d8640d51339f8a0cae8d8203ecfac317c136803ab4" dmcf-pid="GcIEo4IkC3" dmcf-ptype="general"> 트렌드마이크로는 "숫자에 공포심을 가질 필요는 없다"고 강조했다. 취약점 공개 건수와 실제 악용 가능한 위험이 다르기 때문이다. 전체 취약점 규모는 커졌지만, 치명적(Critical) 결함 비율은 2024년 13%에서 2025년 7%로 절반가량 줄었다. 해커가 실제 환경에서 무기화하여 악용하는 비율은 1% 미만 수준을 유지한다는 의미다. 악용 예측 채점 시스템(EPSS) 통계에서도 전체 공개 CVE 중 실제 악용 사례는 5%에 불과했다. </div> <figure class="figure_frm origin_fig" contents-hash="201ace6371ea926ae67c2dd0399e1236c1179da7441a0bb5351d2f3e2ce30cbd" dmcf-pid="HkCDg8CEhF" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/31/552796-pzfp7fF/20260831133753008verc.jpg" data-org-width="640" dmcf-mid="PAOkLfOcSz" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/31/552796-pzfp7fF/20260831133753008verc.jpg" width="658"></p> </figure> <p contents-hash="4a7acc2e93f4f17508ce5be9f7f702cad9fb8312c30aa981fd17643a8e0eb128" dmcf-pid="XEhwa6hDSt" dmcf-ptype="general">전문가들은 문제의 핵심이 쏟아지는 취약점 속에서 진짜 위험을 가려내는 '우선순위 분류' 병목 현상에 있다고 입을 모은다. 미국 국가 취약점 데이터베이스(NVD)는 2025년 새로 공개된 CVE 중 28%만 분석한 상태다. 미국 국립표준기술연구소(NIST) 역시 폭증하는 취약점을 모두 분석하는 대신 위험 계층별로 정보를 분류하는 작업에 집중하는 분위기다.</p> <p contents-hash="3d2e7fef798aa8d1f1e180256d5c5562b3429fcfad6366c73eb686c8a26cf689" dmcf-pid="ZDlrNPlwT1" dmcf-ptype="general">트렌드마이크로는 취약점 건수가 급증한 배경에 구조적 요인이 작용하고 있다고 분석했다. 특히 AI 기반 자율 버그 헌팅이 증가하고 있다고 밝혔다. 이러한 버그 헌팅은 수십 년 된 레거시 코드를 스캔해 숨어있는 안정성 결함을 찾아내는 데 특화돼 있다. 리눅스 커널 사례를 보면, 커널 보안 부문은 보안 위협이 증명되지 않은 단순 버그 수정에도 CVE 식별자를 부여한다. 그 결과 리눅스 커널에서만 5800개가 넘는 CVE가 발생했다. 하지만 실제 악용률은 0.02% 수준에 그쳤다. 취약점 발견과 실제 공격 무기화는 별개 문제라는 점을 엿볼 수 있는 대목이다.</p> <p contents-hash="a75dbcab3bbdeb502fc8577b86e7d8813e1ad29470523a3060f8a953f8f53855" dmcf-pid="5wSmjQSry5" dmcf-ptype="general">전문가들은 대응 전략을 마련할 때가 왔다고 진단한다. 취약점 공개 후 실제 공격으로 이어지는 시간 간격이 몇 주에서 몇 시간으로 단축됐기 때문이다. 미국 사이버보안및인프라보안국(CISA)은 알려진 악용 취약점(KEV) 조치 기한을 일괄 14일에서 위험도에 따라 최소 3일로 단축했다.</p> <p contents-hash="b35bc447631544d25690822d69253ae53e0067d23663b1bfa82f67110b0c57f3" dmcf-pid="1rvsAxvmlZ" dmcf-ptype="general">트렌드마이크로는 대응 속도가 중요해졌다며 "빗방울 수를 세는 대신 홍수를 차단하는 전략으로 선회해야 한다"고 제언했다. 이어 벌너포칼립스에 대응하기 위해 경영진에게 단순 CVE 건수를 보고하는 관행을 멈춰야 한다고 강조했다. 트렌드마이크로는 "가공되지 않은 숫자는 공포심만 조장한다"며 "보유한 데이터를 바탕으로 실행 가능한 추세를 보고할 때"라고 말했다.</p> <p contents-hash="12ad09cf47a2549c7b5f4b8a42053057e0edb06e22f22df8edd779a5b9dafbc3" dmcf-pid="tmTOcMTshX" dmcf-ptype="general">이행 방안으로는 "CISA KEV 목록을 기준으로 침해 사고가 확인된 취약점부터 제로데이 수준으로 긴급 패치하고, 물리적 패치를 기다릴 여유가 없다면 가상 패치와 격리 기술을 도입하는 것도 방법"이라고 당부했다. 이어 "네트워크나 워크로드 단에서 공격 경로를 차단하면 코드 변경 없이 취약점을 무력화할 수 있다"며 "실제 악용 가능성 위협 인텔리전스 정보를 활용해 업무 효율을 높여야 한다"고 밝혔다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 하정우 국가AI전략위 부위원장 취임…"AI 대전환 구심점 역할 할 것" 08-31 다음 환율 확인도 송금도 AI가 척척…KT, 우리은행 AICC 구축 08-31 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
