엠바고의 종말: AI가 취약점 공개 문화를 어떻게 무너뜨리고 있는가

최근의 "Copy Fail" 취약점은 사이버 보안의 패러다임 변화를 보여주는 극명한 사례 연구입니다. 한 연구자가 Linux networking bug에 대한 패치를 공유했을 때, 그들은 전통적인 방식을 따랐습니다. 보안 엔지니어에게 비공개로 알리는 동시에 공개 저장소에 조용한 패치를 푸시하는 것이었습니다. 목표는 패치가 전파되는 동안 취약점의 성격을 "엠바고(embargo)" 상태로 유지하는 것이었습니다. 그러나 몇 시간 만에 다른 연구자들이 해당 커밋을 발견하고, 보안상의 함의를 추론하여 결함을 공개했습니다.

이 사건은 두 가지 오래된 취약점 문화 사이의 커지는 긴장감을 강조하며, 인공지능(AI)의 가속화로 인해 두 문화 모두 구식이 되고 있음을 시사합니다.

두 문화의 충돌

역사적으로 보안 커뮤니티는 버그 공개에 대해 두 가지 주요 철학을 운영해 왔습니다:

Coordinated Disclosure (조정된 공개): 가장 일반적인 기업적 접근 방식입니다. 연구자가 버그를 발견하면 벤더에게 비공개로 알리고, 세부 사항이 공개되기 전에 패치가 개발 및 배포될 수 있도록 일정 기간(통상 90일)을 부여합니다. 이 기간의 전제는 벤더가 조치를 취하기에 충분히 길면서도, 연구자가 발견 사실을 숨기고 있는 것을 방지할 만큼 충분히 짧다는 것입니다.
"Bugs are Bugs" (Linux 방식): Linux kernel 커뮤니티에서 흔직히 볼 수 있는 이 철학은, 코드가 잘못된 동작을 하고 있다면 즉시 수정되어야 한다고 주장합니다. 기대하는 바는 패치를 명시적으로 "보안 패치"라고 라벨링하지 않음으로써, 수천 개의 다른 커밋들 사이의 소음 속에 섞이게 하여 관리자가 공격자를 특정 구멍에 대해 경지하게 하지 않고 업데이트할 시간을 벌어주는 것입니다.

왜 AI가 방정식을 바꾸는가

이 두 문화 모두 특정 가정을 기반으로 합니다. 즉, 취약점을 발견하거나 패치로부터 이를 추론하는 비용이 충분히 높아서 의미 있는 시간적 완충 지대를 만들 수 있다는 가정입니다. AI는 그 완충 지대를 증발시키고 있습니다.

"Silent Fix"의 종말

"Bugs are Bugs" 문화에서 가정했던 것은 Linux kernel과 같은 거대한 프로젝트에서 신호 대 소음 비율이 너무 낮아 공격자가 모든 보안 관련 커밋을 찾아내기 어려울 것이라는 점이었습니다. AI는 이를 바꿉니다. LLM은 이제 저장소에 통과하는 모든 단일 커밋을 실시간으로, 저렴하고 효과적으로 평가할 수 있습니다.

한 커뮤니티 구성원이 언급했듯이, "사람들은 눈치채지 못할 것"이라는 가정은 AI 에이전트에게 "이것이 보안 패치처럼 보이는가?"라고 묻는 프롬프트를 입력하여 몇 초 만에 정답을 얻을 수 있을 때 실패합니다. 조용한 패치의 가장(pretense)은 사라졌습니다. 이제 메인라인으로의 모든 머지는 투명한 공개가 됩니다.

엠바고의 붕괴

Coordinated disclosure의 90일 기간 또한 실패하고 있습니다. Copy Fail 사례에서, 두 번째 연구자가 첫 번째 보고 후 단 9시간 만에 동일한 취약점을 독립적으로 발견했습니다. AI 지원 스캐닝을 사용하면, 취약점이 한 사람을 제외한 모두에게 3개월 동안 알려지지 않은 상태로 유지될 확률은 급격히 떨어집니다.

긴 엠바고는 실제로 위험을 증가시킬 수 있습니다. 벤더에게 잘못된 보안 의식을 심어줄 수 있고, 패치를 작업할 수 있는 전문가의 수를 제한할 수 있습니다. 기간이 길어질수록 제삼자가 버그를 독립적으로 발견하고, 어쩌면 90일간의 엠바고를 기다릴 인내심이 부족할 경우, 이는 치명적인 실패 지점이 됩니다.

공개를 넘어: 안정성을 위한 제3의 문화

논의의 초점은 공개 방식에에 맞췄춰져 있었지만, 그 영향은 소프트웨어 유지 관리 방식까지 확장됩니다. 제3의 문화인 "stable version" 문화 또한 위협받고 있습니다. 많은 조직은 변경 사항으로 인한 장애를 피하기 위해 업그레이드를 지연하는 것을 안정성을 우선시합니다. 그러나 만약 최신 버전이 아닌 모든 버전이 AI에 의해 손쉽게 스캔되고 악용될 수 있다면, "느리고 꾸준한" 방식은 유지될 수 없습니다.

한 논평가는 Debian과 같이 안정성과 오래된 코드베이스를 자랑으로 여기는 프로젝트들이 철학을 근본적으로 재검토해야 할 수도 있다고 주장했습니다. 오래된 버전에 머물무는 비용은 더 이상 기술 부채일 뿐만 아니라, 자동화된 악용을 위한 공개적인 초대장이 됩니다.

새로운 보안 태세로의 전환

취약점의 발견과 악용 사이의 시간이 제로에 가까워지고 있다면, 업계는 초점을 공개 방지에서 복구 가속화로 전환해야 합니다.

토큰의 군비 경쟁

우리는 보안이 컴퓨팅 자원의 군비 경쟁이 되는 시대에 진입하고 있습니다. 방어자는 공격자가 AI를 사용하여 악용하는 것보다 더 빠르게 AI를 사용하여 패치해야 합니다. 이를 위해서는 소프트웨어 공급망의 근본적인 변화가 필요합니다:

Automated Patch Cycles (자동화된 패치 주기): 느리고 수동적인 검증 프로세스에서 벗어나, 버그 보고를 몇 달이 아닌 몇 시간 만에 QA-ready 패치로 바꿀 수 있는 AI 기반 CI/CD 파이프라인으로 이동해야 합니다.
Shortened Embargoes (단축된 엠바고): AI 발견 속도를 반영하여 매우 짧은 엠바고 공개 기간을 지향해야 합니다.
Dependency "Warmups" (의존성 "웜업"): "cooldown" 기간(버전이 안정적인지 확인하기 위해 기다리는 기간)에서 "warmups" 기간(악용 곡선을 앞서나가기 위해 업데이트를 신속하게 통합하는 방식)으로 전환해야 합니다.

결론

수십 년 동안 보안 커뮤니티는 90일간의 엠바고나 조용한 커밋을 통해 은폐(obscurity)이 시간을 벌어줄 수 있다는 믿음 아래 운영되어 왔습니다. AI는 은폐가 더 우리가 더 이상 누양할 수 없는 사치임을 드러냈습니다. 유일하게 남은 방어책은 속도입니다. 목표는 더 이상 구멍을를 숨기는 것이 아니라, AI가 발견하기 전에 이를 메우는 것입니다.n