90시간·935달러가 만든 취약점 탐색의 가격 붕괴
포어스카우트 리서치(Forescout Research)의 베데레 랩스(Vedere Labs)가 인공지능(AI) 기반 분석으로 레거시 전송제어프로토콜/인터넷프로토콜(TCP/IP) 스택에서 기존에 알려지지 않았던 취약점 66개를 찾아냈다. 더 큰 숫자는 따로 있다. 네트워킹 소프트웨어 검토에 걸리던 시간이 약 9개월에서 90시간으로 줄었고, 자동화 정적 분석에 든 비용은 약 935달러였다.
취약점 1건을 찾는 데 든 평균 비용은 2.58달러였다. 이 사건은 보안 기술의 성능 개선 사례로만 읽기 어렵다. 본지 분석에 따르면 이번 연구는 취약점 탐색의 한계비용이 급격히 낮아질 때 산업 생태계가 어떤 압력을 받는지를 보여준다.
과거에는 숙련 연구자, 장기간 분석, 고가 도구가 결합해야 레거시 네트워크 코드의 깊은 결함을 찾을 수 있었다. 이제는 특정 목적에 맞춘 AI 하네스(harness)가 같은 작업의 일부를 짧은 시간과 낮은 비용으로 수행한다. 공격자와 방어자가 같은 비용 곡선 위에 올라선다는 뜻이다.
포어스카우트 연구팀은 임베디드 소프트웨어에 특화한 AI 하네스를 구축해 오픈소스 소프트웨어와 독점 바이너리를 함께 시험했다. 이 도구는 포어스카우트가 프로젝트 메모리아(Project Memoria)를 통해 이미 분석했던 소프트웨어에서 66개의 신규 취약점을 찾아냈다. 새 취약점 가운데 47%는 공통 취약점 점수 체계(CVSS) 기준 7.0~8.9의 높음 등급이었고, 5%는 9.0 이상의 중요 등급이었다.
높음과 중요를 합치면 전체의 52%다. 중간 등급(CVSS 4.0~6.9)은 45%였다.
AI가 사소한 결함만 대량으로 잡아낸 것이 아니라 실제 패치 우선순위를 흔들 수 있는 결함을 선별했다는 의미를 갖는다. 산업·비즈니스 관점에서 가장 민감한 대목은 취약점이 몰린 위치다. 가장 많은 결함이 발견된 구성 요소는 코어 인터넷프로토콜(IP), 전송제어프로토콜(TCP), 사용자 데이터그램 프로토콜(UDP), 인터넷 제어 메시지 프로토콜(ICMP), 이더넷(Ethernet)이었고 전체의 29%를 차지했다.
광고
이 영역은 스마트미터, 산업용 제어장비, 의료기기, 빌딩 자동화 장비 같은 사물인터넷(IoT)과 운영기술(OT) 기기의 통신 바닥을 이룬다. 애플리케이션 업데이트처럼 빠르게 교체하기 어렵고, 현장 장비는 10년 이상 같은 코드 기반을 유지하는 경우가 적지 않다.
원천 자료는 특정 국내 기업 피해를 확인하지 않았으나, 취약점 위치 자체는 제조사와 운영사가 비용을 미루기 어려운 영역임을 가리킨다. 본지 분석에 따르면 이번 수치는 보안 산업의 가격표를 다시 쓰게 만든다.
9개월짜리 검토가 90시간으로 줄어든다는 것은 컨설팅 매출 감소만 뜻하지 않는다. 보안 기업에는 반복 분석을 자동화하고, 사람이 검증해야 할 취약점 후보를 줄이는 제품 전략이 필요하다는 압박으로 작용한다.
제조사에는 더 불편한 숙제가 남는다. 펌웨어(firmware)와 통신 스택을 납품받아 제품에 넣는 관행이 유지된다면, 완제품 브랜드가 실제 코드 위험을 파악하지 못한 채 시장에 장비를 공급하는 일이 반복된다. 이때 보안 비용은 연구실이 아니라 리콜, 인증 지연, 유지보수 계약 재협상으로 이동한다.
레거시 TCP/IP가 드러낸 OT·IoT 공급망 리스크
투자자 입장에서도 해석은 단순하지 않다. 취약점 탐색 자동화는 보안 소프트웨어 기업의 생산성을 높이지만, 동시에 탐지 기술의 차별성을 빠르게 낮출 수 있다.
AI 모델과 분석 하네스를 결합해 알려진 취약점의 40%를 재발견했다는 대목은 이 점을 뒷받침한다. 이미 수동 연구를 거친 코드에서도 AI가 과거 결함을 다시 찾아냈다는 사실은 방어 측 검증 절차의 보강 근거가 된다. 그러나 같은 기능을 공격자가 이용하면 취약점 중개 시장과 랜섬웨어 생태계의 탐색 비용도 내려간다.
보안 기업의 기업가치는 탐지 건수보다 검증 정확도, 패치 조율 능력, 고객 자산 식별 범위에서 갈릴 가능성이 커졌다. 본지 분석에 따르면 국내 산업에도 이 문제는 먼 얘기가 아니다.
한국 기업은 스마트공장, 에너지 설비, 물류 자동화, 커넥티드 가전에서 OT와 IoT 의존도를 계속 높여 왔다.
광고
이 장비들은 범용 서버처럼 매월 패치를 적용하기 어렵고, 생산 중단 비용이 보안 업데이트 비용보다 크게 산정되는 경우가 많다. 레거시 TCP/IP 스택 취약점은 바로 이 계산을 흔든다. 장애 없이 돌아가는 장비라도 통신 계층의 결함이 누적돼 있으면, AI를 쓴 대량 탐색 환경에서 노출 시간이 짧아질 수 있다.
보안 투자는 침해 사고 뒤에 사는 보험이 아니라 제품 원가와 공급망 심사 항목으로 이동해야 한다. 반론도 있다. AI가 찾아낸 취약점이 모두 실제 공격으로 이어지는 것은 아니며, 정적 분석은 오탐을 낳을 수 있다.
특히 임베디드 환경에서는 취약 코드가 특정 컴파일 옵션이나 네트워크 구성에서만 작동할 수 있다. 이 지적은 타당하다. 다만 이번 연구가 보여준 사업적 위험은 공격 성공률보다 탐색 비용의 하락에 있다.
후보 취약점을 싸게 대량 생산할 수 있는 시장에서는 방어자가 모든 후보를 직접 확인해야 하는 비용을 떠안는다. 오탐이 섞여도 방어 측 업무량은 줄지 않는다.
보안 기업의 대응은 제품 홍보 문구보다 운영 모델에서 갈린다. 취약점 분석 자동화 도구를 파는 회사는 이제 발견 단계만 강조해서는 충분하지 않다.
고객 장비 목록을 식별하고, 어떤 스택 버전이 어떤 제품군에 들어갔는지 매핑하며, 패치가 불가능한 장비에는 네트워크 분리와 가상 패치(virtual patching)를 제안해야 한다. 제조사는 소프트웨어 구성명세서(SBOM)를 형식 문서로 남겨둘 여유가 줄었다. 어떤 부품사가 공급한 TCP/IP 스택이 어느 제품에 들어갔는지 추적하지 못하면, 66개 취약점 같은 연구 결과가 나올 때마다 대응 범위를 가늠하지 못한다.
보안 기업과 제조사가 다시 짜야 할 투자 우선순위
본지 분석에 따르면 정책 영역에서도 같은 논리가 적용된다. 핵심 인프라 규제는 사고 보고와 망 분리 중심에서 제품 수명주기 관리로 옮겨가야 한다. 전력, 수도, 교통, 제조 현장의 장비는 한 번 설치하면 교체 주기가 길고, 운영사가 원천 코드에 접근하지 못하는 경우가 많다.
이 구조에서는 개별 운영사에게만 보안 책임을 묻기 어렵다.
광고
납품 단계의 취약점 공개, 구성요소 추적, 장기 패치 지원 기간을 계약 조건에 넣어야 실제 비용 배분이 가능하다. AI 분석 도구의 보급은 이 전환을 앞당기는 압력으로 작동한다. 이번 연구를 과장해 모든 레거시 장비가 즉시 위험하다고 단정할 수는 없다.
원천 자료는 특정 국내 인프라 침해나 실제 악용 사례를 제시하지 않았다. 확인된 사실은 AI 지원 분석이 레거시 TCP/IP 스택에서 66개 신규 취약점을 발견했고, 이 중 52%가 높음 또는 중요 등급이었다는 점이다. 그러나 산업 시장에서 의미 있는 변화는 이미 충분히 발생했다.
취약점을 찾는 비용이 낮아지면, 오래된 코드를 품은 제품의 잠재 부채가 재평가된다. 보안 예산은 더 이상 사고 대응 부서의 몫으로만 남기 어렵다. 이번 사례는 AI 보안 시장의 수요를 키우는 동시에 낡은 보안 사업 모델을 압박한다.
탐지 자동화는 상품화 속도가 빠르다. 반면 OT·IoT 자산 목록 구축, 패치 불가 장비의 보완 통제 설계, 공급망 코드 추적은 고객 현장에 깊이 들어가야만 해결된다. 한국 기업이 준비해야 할 지점도 여기에 있다.
AI가 취약점을 싸게 찾는 시대에는 장비를 많이 연결한 기업보다, 어떤 코드가 어디에 있는지 파악한 기업이 더 낮은 위험 프리미엄을 지불한다. 경영진은 보안을 비용 절감 항목으로 볼 것인지, 아니면 제품 신뢰를 지키는 원가 구조로 다시 편성할 것인지 답해야 한다.
※ 이 기사는 Industrial Cyber 보도 및 포어스카우트 리서치(Forescout Research) 베데레 랩스(Vedere Labs)의 연구 자료를 참조하여 작성하였다. 정확한 보도 일자는 원천 자료에서 확인되지 않았다.
FAQ
Q. 일반 기업은 이번 연구 결과를 당장 어떻게 해석해야 하나
A. 이번 연구는 특정 국내 기업의 침해 사실을 확인한 자료가 아니다. 그러나 레거시 전송제어프로토콜/인터넷프로토콜(TCP/IP) 스택을 쓰는 장비가 많은 기업이라면 자산 목록과 펌웨어 버전 확인을 먼저 해야 한다. 운영기술(OT) 장비는 일반 정보기술(IT) 서버보다 패치 적용이 느리기 때문에, 제조사 지원 여부와 네트워크 분리 상태를 함께 점검해야 한다. 단기적으로는 외부 노출 장비를 줄이고, 장기적으로는 소프트웨어 구성명세서(SBOM)를 구매·운영 절차에 포함하는 방식이 현실적이다. 취약점 1건을 찾는 비용이 2.58달러 수준으로 낮아진 환경에서는 대응 준비가 늦을수록 노출 위험이 비례해 커진다.
Q. AI 취약점 분석이 보안 인력을 대체한다는 뜻인가
A. 확인된 사실은 AI 지원 분석이 검토 시간을 약 9개월에서 90시간으로 줄였다는 점이다. 그러나 취약점 후보가 실제 공격 가능한 결함인지 검증하고, 운영 중인 장비에 패치를 적용할지 판단하는 일은 사람의 책임으로 남는다. AI는 반복 탐색과 후보 선별 비용을 낮추지만, 오탐 처리와 우선순위 결정까지 자동으로 해결하지 못한다. 포어스카우트 연구에서도 AI가 알려진 취약점의 40%를 재발견했다는 사실은 도구의 유용성을 뒷받침하지만, 나머지 60%를 걸러내는 작업은 여전히 전문가 판단을 필요로 한다. 보안 인력의 역할은 코드 탐색 자체에서 자산 이해, 위험 평가, 패치 조율로 이동한다.
Q. 보안 기업과 제조사는 어디에 투자해야 하나
A. 보안 기업은 단순 취약점 발견 도구보다 자산 식별, 구성요소 매핑, 패치 불가 장비 보호 기능을 결합한 서비스에 투자해야 한다. 제조사는 납품받은 통신 스택과 펌웨어 구성 정보를 추적할 체계를 갖춰야 하며, 이번 연구에서 신규 취약점의 52%가 높음 또는 중요 등급으로 분류된 사실은 사후 대응만으로 비용을 통제하기 어렵다는 점을 뒷받침한다. 투자 우선순위는 탐지 자동화, 소프트웨어 구성명세서(SBOM) 도입, 장기 패치 지원 계약 순으로 재편될 가능성이 높다. 특히 TCP/IP 스택의 핵심 구성 요소(코어 IP·TCP·UDP·ICMP·이더넷)에서 전체 취약점의 29%가 발견된 점은 통신 계층 보안 검토를 납품 계약 단계에 포함해야 함을 뜻한다.
광고
▶ 법률 고민이 있다면 → 변호사 오경석 법률사무소 바로가기
){kind=small}
){kind=small}
){kind=small}
){kind=small}
