실시간
뉴스

e비즈*솔루션

[K-보안 주권⑨] "AI 취약점 홍수 온다…20년 쌓은 실시간 보안 관제가 무기"

디지털데일리 발행일 2026-07-02 06:00:00
김보민 기자

[인터뷰] 이만희 한국정보보호학회 공급망보안연구회 위원장

디지털데일리는 [K-보안 주권] 기획 시리즈를 통해 한국이 서 있는 보안 현주소와 향후 나아갈 방향을 짚어본다. 대한민국이 'AI 3대 강국'을 넘어 사이버 방위의 핵심 축인 '보안 주권(소버린 시큐리티)'을 확보하기 위해 필요한 과제와 방향성을 살펴보고 국내 보안 기업과 관계자, 전문가들이 현장에서 말하는 한국의 경쟁력과 미래 전략을 알아본다. <편집자>

이만희 한남대 교수(한국정보보호학회 공급망보안연구회 위원장)

[디지털데일리 박재현·김보민기자] "한국의 사이버 보안은 전 세계적으로 최고가 될 수 있다. 미국을 포함해 그 어느 곳도 한국만큼 국가적으로 실시간 보안 관제를 수행하는 곳은 없다."

이만희 한남대학교 교수(한국정보보호학회 공급망보안연구회 위원장)는 <디지털데일리>를 만나 한국의 보안 경쟁력을 묻는 질문에 이렇게 답했다. 2003년 인터넷 대란을 계기로 국가사이버안보센터(NCSC)가 출범했고, 2005년 전자정부 보안관제센터를 중심으로 국가 보안 체계를 고도화한 것이 오늘날 한국 보안 경쟁력의 기반이 됐다는 설명이다.

그럼에도 과제는 있다. 국내 보안 담당자들은 앤트로픽 '미토스'처럼 취약점 탐지에 능한 고성능 AI 모델이 상용화된다면 보안 대응 전략 또한 달라져야 한다고 입을 모은다. 취약점 패치가 나오기 전 해커가 이를 악용할 가능성까지 제기되기 시작했다. 취약점이 공개된 이후 실제 공격이 발생하기까지 걸리는 시간은 평균 2~3년에서 최근 8시간 수준으로 단축됐다.

이 교수는 "공급망 관점에서 미토스와 같은 모델이 더 많이 상용화된다면 '취약점 홍수'가 현실화될 것"이라고 경고했다. 이어 "실제 프로젝트 글래스윙(앤트로픽 AI 보안 연합체)에서 미토스 프리뷰 버전을 제한적으로 실험해 봤더니 짧은 시간에 취약점 1만여개를 찾았다는 결과도 나왔다"며 "이처럼 취약점이 대량으로 늘어나면 사람이 대응하는 것은 불가능해질 수밖에 없다"고 말했다.

이 교수는 한국이 쌓은 '실시간' 대응 역량을 발휘할 때가 왔다고 진단했다. 특히 보안 관제에 대한 인식이 공공기관을 중심으로 자리 잡은 것이 큰 장점이라고 평가했다. 통상 취약점이 보고되면 소프트웨어(SW) 개발사들은 패치를 만들고 사용자는 취약점을 조치하는 방식으로 대응해온 만큼, 위험을 빠르게 전파하는 체계가 이미 구축돼 있다는 취지다.

이 교수는 "한국은 약 20여년 동안 실시간 보안 관제를 수행해왔고, 이로 인해 모든 사이버 보안 담당자는 관제를 당연히 여기고 있다"고 말했다. 그러면서 "최근 예고된 '공급망 보안 위험 관리 체계'를 보면 위협 전파, 대응, 모니터링이 모두 포함돼 있다"며 "이러한 체계가 3년 내 개발된다면 고성능 AI 모델이 취약점을 발견하더라도 국내 모든 공공기관으로 해당 정보가 전파되고 조치가 이뤄질 수 있게 된다"고 내다봤다.

정부는 이달 'SW 공급망 보안 강화 로드맵'을 통해 공공분야 공급망 위험관리 체계를 구축하겠다고 예고했다. 여기에는 국내 정보통신 환경, 보안 정책, 해외 SW 공급망 보안 추진 동향 등을 반영한 소프트웨어자재명세서(SBOM) 항목을 도출하고 표준화하는 내용이 담겨 있다. SBOM 생성 및 교환 방식, 활용 범위에 따른 접근통제, 통합관리 절차 등을 마련하는 것도 과제로 포함됐다.

미국을 비롯한 보안 강국이 취약점 대응에 어려움을 겪고 있다는 점을 고려했을 때 대비되는 모습이다. 업계 안팎에서는 미국 국립표준기술연구소(NIST)의 국가취약성데이터베이스(NVD)가 제 기능을 수행하지 못하고 있다는 평가가 나오고 있다. 2020~2025년 사이 공개취약점(CVE) 제출 건수가 263% 폭증하면서 분석 지연이 이어지는 것으로 전해진다.

이 교수는 "미국 CVE를 관리하는 NVD의 경우 취약점 분석을 제대로 하지 못하고 있다"며 "취약점이 보고되더라도 제때 분석하지 못하니 위험도를 파악하기 어려운 상황"이라고 전했다. 이어 "그동안 전 세계가 미국 NVD 분석 정보에 의존해왔지만 이제는 발등의 불을 꺼야 하는 상황이 됐다"며 "자체 취약점 데이터베이스(DB) 구축이 필요한 이유"라고 강조했다.

정부가 공개한 SW 공급망 보안 강화 로드맵에는 취약점DB를 구축하고 공급망 위협을 추적할 환경을 마련하는 과제도 포함됐다. 국내외 유통되는 상용 및 공개 SW에 대한 취약점 정보를 실시간으로 수집하고 이를 공유할 수 있는 DB를 구축하는 것이 핵심이다.

일각에서는 취약점을 수집할 때 '양보다 질'을 우선시해야 한다는 의견도 제기된다. 고위험 취약점이라도 국내 기관이나 기업에 영향을 주지 않는 요소라면 이를 배제할 수 있는 평가 체계가 필요하다는 취지다. 이 교수는 "이것이 위험 관리 체계의 핵심"이라며 "우리 시스템 중 몇 개가 외부에 공개돼 있고 취약점에 영향을 받는지 바로 확인할 수 있을 것"이라고 부연했다.

이 같은 체계가 완성된다면 타국에 무조건적으로 의존하지 않는 '소버린 시큐리티'를 구축할 첫 단계를 밟을 수 있다고도 시사했다. 이 교수는 "취약점이 대량으로 발견된다고 해서 그것이 모두 실제 공격으로 이어지는 것은 아니다"라며 "취약점을 찾고, 공격이 시작됐을 때 빨리 전파해 회복력(레질리언스)을 확보하는 것이 경쟁력이 될 것"이라고 강조했다.

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지

이 기사와 관련된 기사

디지털데일리 네이버 메인추가

당신이 좋아할 만한 뉴스

DD 마이크로 사이트

오피니언