패치의 시대는 끝났습니다. F5가 다가올 미래에 대비하는 방법을 소개합니다.

Kunal Anand최고제품책임자 | F5

FFmpeg에는 자동화된 퍼저가 약 500만 번 실행해 본 코드 한 줄이 있습니다. 그 줄에는 16년 된 버그가 있었지만 아무도 발견하지 못했고, 어떤 도구도 이를 포착하지 못했습니다. 그러다 Anthropic이 새로운 Claude Mythos Preview 모델로 해당 코드베이스를 분석하게 했고, 모델은 코드를 읽고 그 의도를 추론해 결함을 찾아냈습니다. 또한 모든 주요 운영체제와 주요 브라우저에서 이전까지 알려지지 않았던 수천 개의 취약점도 발견했습니다. 그중 OpenBSD의 한 취약점은 27년 동안 존재해 왔습니다. OpenAI를 비롯한 다른 기업들도 이와 동등한 역량을 개발하고 있습니다.

지금은 단일 공급업체만 주목할 때가 아닙니다.

소프트웨어 보안의 물리 법칙이 바뀐 순간입니다.

중요한 수학

Sergej Epp의 제로데이 시계는 CISA KEV, VulnCheck KEV 및 XDB에서 수집한 3,515개의 CVE-익스플로잇 쌍을 기반으로 하며, 네 가지 수치로 상황을 설명합니다:

1. 2018년에는 취약점 공개부터 익스플로잇이 처음 관찰되기까지 걸린 시간의 중앙값이 771일이었습니다. 조직에는 패치를 적용할 시간이 2년 넘게 있었습니다.
2. 2023년에는 그 기간이 6일로 줄었습니다.
3. 2024년에는 4시간으로 단축되었습니다.
4. 2025년에는 악용된 많은 취약점이 공개되기도 전에 무기화되었습니다.

한편, 일반적인 조직은 여전히 패치를 테스트하고 배포하는 데 20일이 걸립니다. 대부분의 조직은 매달 새로 발견되는 취약점의 약 10%만 해결할 수 있습니다. 패치 적용 속도를 높이는 것만으로는 이 격차를 해소할 수 없습니다. 분기별로는 물론, 매월 적용해도 부족합니다. 현실적으로는 매주 적용하더라도 마찬가지입니다.

계산이 도무지 맞지 않습니다.

AI가 공격 측에 유리하게 판도를 바꾸는 이유

AI가 방어보다 공격을 더 빠르게 가속하는 데에는 더 근본적인 이유가 있으며, 모든 보안 책임자는 이를 이해해야 합니다.

공격 측은 사이버 보안에서 가장 저렴한 검증 수단을 갖고 있습니다. 익스플로잇이 성공했는가? 답은 이분법적이며 즉시 확인됩니다. 셸을 탈취했거나, 그러지 못했거나 둘 중 하나입니다. 머신러닝은 이런 종류의 신호를 바탕으로 빠르게 발전합니다.

방어 측은 정반대의 문제를 안고 있습니다. 이 경보는 실제 위협을 알리는 것일까요? 이 시스템은 안전할까요? 피드백은 모호하고 느리며 비용도 많이 듭니다. 신호에는 잡음이 많고 피드백 루프는 제대로 작동하지 않습니다. AI는 명확한 검증 수단이 있는 쪽에서 더 효과적으로 작동합니다. AI를 활용한 공격이 AI를 활용한 방어보다 더 빠르게 산업화된 이유입니다.

이것이 Mythos 수치 이면에 자리한 구조적 진실입니다. Anthropic이 무기를 만든 것은 아닙니다. 범용 프런티어 모델의 코드 해석 능력이 충분히 향상되면서 검증의 비대칭성이 공격자에게 더욱 유리한 방향으로 기울었을 뿐입니다.

프런티어 모델을 개발하는 모든 연구소는 이 임계점을 넘게 될 것이며, 현재 역량 곡선의 추세를 바탕으로 볼 때 앞으로 12개월 이내에 Mythos급 코드 추론 역량을 갖춘 오픈 소스 모델, 즉 GPU만 있으면 누구나 로컬 환경에서 아무런 감독 없이 실행할 수 있는 모델이 등장할 것이라는 게 제 전망입니다. 이는 추측이지만, 제가 계획을 세울 때 전제로 삼고 있는 가정이기도 합니다.

무엇이 바뀌어야 하는가

모든 소프트웨어 공급업체와 기업 보안팀은 바로 이 일정에 맞춰 대비해야 합니다. 그렇다면 무엇이 바뀌어야 할까요?

코드를 테스트하는 방식: 정적 분석과 정기적인 침투 테스트는 취약점을 발견하는 데 오랜 시간과 많은 비용이 들던 시대에 맞춰 만들어졌습니다. 그런 시대는 끝났습니다. 이제 테스트는 지속적으로 이루어져야 하며, AI와 추론을 기반으로 해야 합니다. 모델은 실행 경로를 추적하고 흐름을 연결해, 개별 버그에 그치지 않고 익스플로잇 체인을 찾아내야 합니다. 패턴 매칭은 기본일 뿐입니다. 핵심은 추론입니다.

코드를 개발하는 방식: 보안은 더 이상 파이프라인 마지막 단계의 관문으로만 남아 있어서는 안 됩니다. 코드 작성 단계에 통합되어야 하며, AI 지원 도구가 커밋 전에 위험한 구문을 식별해야 합니다.

코드를 배포하는 방식: 취약점 공개 일정, 업데이트 주기, 시스템군 관리 관행은 모두 지금보다 느린 속도에 맞춰져 있었습니다. 모든 소프트웨어 공급업체는 보안 권고보다 익스플로잇이 먼저 등장하는 세상에서도 현재의 프로세스가 유효할지 솔직하게 자문해야 합니다.

이는 아직 출시하지 않은 코드에 해당합니다. 그에 못지않게 어려운 문제는 이미 프로덕션 환경에서 운영 중인 코드를 어떻게 처리할 것인가입니다. 바로 여기에서 진정한 변화가 일어납니다. 또한 F5가 선도하도록 설계된 영역이기도 합니다.

런타임이 해답입니다

패치 적용 시간이 끝나도 트래픽 경로는 그대로 유지됩니다. 이는 대체 수단이 아닙니다. 새로운 계산법에서는 이것이 핵심 제어 수단입니다.

런타임 보호는 검증의 비대칭성을 뒤집습니다. 코드베이스 어딘가에 가상의 결함이 존재하는지 묻는 대신, 런타임은 애플리케이션의 동작을 관찰하고 그 동작이 의도에서 벗어날 때 개입합니다. 신호는 구체적이고 피드백은 명확합니다. 공격자가 코드에서 수천 개의 제로데이 취약점을 찾아내더라도 익스플로잇이 데이터 경로를 통과할 수 없다면, 그 버그는 침해 사고로 이어지지 않습니다.

F5는 30년 동안 데이터 경로를 지켜 왔습니다. F5 BIG-IP, F5 NGINX, 그리고 F5 Distributed Cloud Services—즉, F5 Application Delivery and Security Platform—는 바로 이 계층을 위해 구축되었습니다. 트래픽이 흐르는 곳에서 애플리케이션을 보호한다는 당사의 아키텍처 결정은 코드를 충분히 빠르게 패치할 수 없는 시대에 무엇보다 중요합니다. 현재 당사가 AI 트래픽 관리 및 런타임 보안 분야에서 추진하는 모든 작업은 고객이 오늘날 구축하고 있는 워크로드에 이와 동일한 결정을 확장 적용하는 것입니다.

자체 코드에 대해 우리가 하고 있는 일

또한 우리는 이 문제의 다른 측면에서도 필요한 작업을 수행하고 있습니다. 운영 실무의 일환으로 최첨단 AI 모델을 자체 코드베이스에 적용하고 있습니다.

모델은 소스 코드를 직접 읽고, 모듈과 언어를 넘나드는 위험한 흐름을 추적하며, 실제 구현 세부 사항을 바탕으로 추론합니다. 두 번째 검증 단계에서는 유의미한 신호와 노이즈를 구분합니다. 발견된 문제는 CWE 매핑, 심각도 등급, 파일 및 줄 참조, 악용 가능성에 대한 맥락과 함께 분류되며, 우선순위가 지정된 수정 절차로 바로 전달됩니다.

목표는 개별 버그를 찾아내는 데 있지 않습니다. 공격 체인을 밝혀내고, 중요한 문제에 우선순위를 부여하며, 발견된 문제를 바탕으로 코드를 더욱 견고하게 만드는 데 있습니다. 각 주기를 거칠 때마다 지식 기반이 축적되어 다음 주기는 더 빠르고 정밀해집니다. 최첨단 모델이 발전할수록 이를 활용하는 우리의 역량도 함께 고도화됩니다. 공격자들이 바로 그런 도구와 모델을 사용할 것이므로, 우리의 코드베이스는 언제나 현존하는 최고의 도구와 모델을 기준으로 테스트될 것입니다.

비용, 그리고 그 비용을 누가 부담하는가

이것이 고객에게 어떤 의미인지 솔직하게 말씀드리고자 합니다.

공개되는 취약점이 많아진다는 것은 소프트웨어가 더 취약해졌다는 의미가 아닙니다. 오히려 프로세스가 더 강화되었다는 뜻입니다. 공격자가 악용하기 전에 우리가 찾아내 수정하는 결함 하나하나는 운영 환경의 노출 위험을 그만큼 줄여 줍니다. 하지만 수정할 때마다 누군가는 패치를 배포해야 합니다. 운영 환경에서 BIG-IP을 사용하는 고객은 더 많은 패치를 적용해야 하며, 기존처럼 분기별로 진행하던 업데이트 주기를 더 이상 유지할 수 없습니다. F5는 취약점을 발견하고 수정한 뒤 검증하여 고객이 배포하기까지의 전체 주기를 단축하기 위해 F5 Insight와 플릿 관리에 투자하고 있습니다. 또한 배포에 시간이 걸리는 경우에도 코드가 최신 상태로 업데이트될 때까지 트래픽 경로에서 애플리케이션을 계속 보호합니다.

마지막 절에 이 모든 논지가 압축되어 있습니다:

1. 공격자가 악용하기 전에 더 빠르게 찾아내세요.
2. 익스플로잇이 무기화되기 전에 더 빠르게 수정하세요.
3. 코드가 보완될 때까지 런타임에서 보호하세요.

세 가지 원칙은 함께 적용할 때만 효과가 있습니다. 어느 하나도 단독으로는 효과가 없습니다.

새로운 일상

이제부터 소프트웨어 보안은 이런 방식으로 운영됩니다. 일회성 캠페인도, 특정 모델 하나의 출시에 대한 대응도 아닙니다. 패치를 적용할 수 있는 기회는 이미 끝났으며 다시 열리지 않을 것입니다.

일부 기업은 이를 그저 버텨내야 할 일시적인 상황으로 여길 것입니다. 하지만 이를 새로운 일상으로 받아들이고 코드와 트래픽 계층에서 이에 맞춰 지속적으로 재구축하는 기업만이 번영할 것입니다.

F5는 새로운 일상에 맞춰 대비하고 있습니다. 고객들도 마찬가지입니다. 우리는 이 중요한 과제를 함께 수행해 나갈 것입니다.

작성자 소개

Kunal Anand최고제품책임자 | F5

Kunal Anand는 최고제품책임자(CPO)로서 F5의 제품 조직을 이끌고 있습니다. 제품 비전, 전략 및 실행을 총괄하며, 고객의 중대한 과제를 해결하고 탁월한 경험을 제공하는 혁신적인 솔루션의 개발을 주도합니다. 이전에는 최고기술·AI책임자로서 회사의 기술 및 AI 전략과 비전을 수립했습니다. F5에 합류하기 전에는 Imperva에서 최고기술책임자(CTO)와 최고정보보안책임자(CISO)를 겸임했습니다. Kunal은 2013년에 공동 창업한 애플리케이션 보안 스타트업 Prevoty가 2018년 Imperva에 인수되면서 Imperva에 합류했습니다. Prevoty 이전에는 BBC Worldwide에서 기술 담당 이사를 역임했습니다. Kunal은 혁신과 기술 분야에서 풍부한 경험과 전문성을 갖추고 있으며, Gravity, MySpace 및 NASA 제트추진연구소에서 보안, 데이터, 기술 및 엔지니어링 팀을 이끄는 직책을 맡았습니다. Kunal은 모델 학습, AI 기반 알고리즘을 활용한 제품 개선, AI 아키텍처 설계 및 구현 등 AI와 머신러닝 분야에서 15년 이상의 경험을 보유하고 있습니다. Kunal은 Babson College에서 컴퓨터 과학 학사 학위를 취득했습니다.

Kunal Anand의 다른 블로그 게시물