더 많은 리포트가 아니라 ‘체계적인 정리’가 필요합니다 | AI 시대 취약점 대응법
제로데이 취약점을 찾아내는 일이 인간의 속도로 진행되던 시절에는, 실제 취약점(True Positive)을 처리하는 일이 그리 자주 발생하지 않아 사람이 직접 트리아지 프로세스를 진행해도 무리가 없었습니다. 하지만 AI의 등장으로 버그 발견의 속도와 규모가 근본적으로 변했습니다. 공격 측면의 처리량은 몇 배로 뛴 반면, 이를 받아 판단하고 정리하는 쪽은 여전히 사람이기 때문입니다.
2017년부터 2021년까지 CVE는 연평균 4%씩 늘었는데, ChatGPT 공개 이후 5년 동안은 연평균 20%로 정확히 4배 뛰었습니다. 올해 역시 작년 대비 34% 증가가 예상됩니다.
하지만 이 수치조차 실제 리포트가 얼마나 빠르게 접수되고 있는지 정확하게 보여주지는 못합니다. 올해 Chrome의 CVE 발급 건수는 5월 기준으로 전년 동기 대비 563%나 증가했습니다.
보안 현장에서도 상황은 크게 다르지 않습니다.
예컨데 한 기업은 Xint 뿐 아니라 자체 버그바운티 프로그램, 그리고 최신 사이버 보안 AI 모델의 얼리 액세스 등 다양한 채널에서 취약점 보고서를 받고 있었습니다. 그러나 이 기업에 정작 부족한 건 ‘더 많은 리포트’가 아니라, 쏟아지는 리포트와 탐지된 모든 취약점을 체계적으로 정리할 방법이었습니다.
서로 다른 소스의 리포트를 한 곳으로
Xint는 공격자가 실제로 노리는 취약점을 찾아냅니다. 이에 더해 노이즈를 줄이고 대응 우선 순위를 잡아주는 ‘취약점 통합 관리 기능’을 단일 플랫폼 내에서 제공합니다. 이는 단순한 버그 탐지 도구가 따라올 수 없는 Xint만의 핵심 기능입니다.
중복 제거: 서로 다른 소스에서 들어온 취약점이라도, 표현이나 기술 방식만 다를 뿐 실제로는 동일한 취약점인 경우가 많습니다. Xint를 사용하면 관련 메타데이터를 유지하면서, 여러 보고서를 단일한 취약점으로 통합 및 중복 제거할 수 있습니다. (예: 버그 바운티 제보가 다른 방식을 통해 이미 발견된 시점보다 먼저 들어왔는지, 아니면 나중에 들어왔는지 확인해야 하는 경우)
취약점 검증: Xint는 전체 컴퓨팅 자원의 대부분을 단순 탐지가 아닌 '검증'과 '관리'에 투입합니다. 즉, 관리 기능이 탐지 도구에 덤으로 얹어진 부가 기능이 아닙니다. 수집된 리포트는 코드 도달 가능성(Reachability)과 실제 영향도(Impact)를 기준으로 정교하게 판별되어 노이즈 대부분이 이 단계에서 걸러집니다. 나아가 Xint의 트리아지 엔진은 자체 탐지 알고리즘이 놓친 취약점까지도 역으로 검증해내는 성능을 보여줍니다. 다양한 탐지 소스를 아우르는 '중앙 관리 레이어'로서 Xint가 존재하는 이유가 바로 여기에 있습니다.
패치 검증: 패치를 적용하면 Xint가 애플리케이션을 다시 테스트해 Diff(코드 변경 사항)를 확인합니다. 해당 취약점이 실제로 막혔는지, 그 과정에서 새 문제가 생기지 않았는지 함께 봅니다. 이 검증 결과는 리포트에 그대로 반영되어 컴플라이언스 및 감사 대응에 필요한 역할을 해줍니다
실제 사례 분석
이러한 관리 프로세스의 효과는 숫자로 증명됩니다. Xint 연구팀은 AI가 만든 코드에서 어떤 취약점이 반복되는지 확인하려고 애플리케이션 28개를 분석했습니다.
초기 스캔: 총 8,800건의 원시 탐지(Raw Detections)가 발생
중복 제거 후: 513개의 고유 결함으로 감소
검증 거친 후: 최종 434개의 검증된 취약점으로 압축
최종 선별된 434건의 취약점은 유형 및 심각도별로 완벽하게 분류되었으며, 전체 트리거 경로와 권장 조치 방안이 함께 제공되었습니다. 결과적으로 보안 엔지니어가 실제로 확인해야 하는 양은 96% 줄어든 셈입니다.
AI로 인해 버그 발견 속도가 비약적으로 빨라진 오늘날, 다양한 소스에서 쏟아지는 방대한 보고서의 분류를 조율하고 이를 문제 해결을 위한 PR(Pull Request)과 연결할 수 있는 플랫폼을 갖추는 것이야말로 성숙한 펜테스팅 플랫폼이 반드시 제공해야 할 핵심 역량입니다.
AI 기반 화이트박스 모의해킹, Xint Code 더 알아보기
📩 최신 보안 인사이트 받아보기
Xint 팀이 분석한 취약점 연구와 최신 보안 인사이트를 이메일로 가장 먼저 받아보세요.
문의: contact@xint.io
웹사이트: xint.io