패치가 나오기도 전에 AI 모델이 취약점을 발견한다면

Michael Montoya최고 기술 운영 책임자 | F5

오랫동안 취약점 관리는 익숙한 절차에 따라 이루어졌습니다. 취약점이 발견되고 공개되면 보안팀이 위험을 평가하고, 조직이 수정 사항을 테스트한 뒤, 변경 관리 절차와 정기 유지보수 시간을 거쳐 운영 환경에 패치를 적용했습니다.

그 모델은 조직이 당연하게 여기기 쉬운 한 가지, 바로 시간에 의존하고 있었습니다.

오늘날, 그 시간적 여유가 사라지고 있습니다. 인공지능은 취약점 발견, 익스플로잇 개발, 자동화된 공격 워크플로의 속도를 높이고 있습니다. 이러한 역량이 향상되고 더 널리 보급되면서 보안팀은 근본적인 불균형에 직면하고 있습니다. 공격자는 점점 더 기계의 속도로 움직일 수 있게 되는 반면, 방어자는 여전히 기업 IT 환경의 현실적인 제약 속에서 대응해야 합니다.

취약점을 둘러싼 경쟁의 양상이 달라졌습니다

이 수치는 상황이 얼마나 극적으로 달라졌는지 보여줍니다.

F5의 온라인 행사인 포스트 미토스 보안 서밋에서 제가 설명했듯이, 2018년에는 취약점 공개부터 악용까지 걸리는 평균 시간이 2년 이상으로, 방어자에게 약 771일의 대응 여유가 있었습니다. 2021년에는 이 기간이 약 10개월로 줄었습니다. 2024년에는 53일이었고, 2025년에는 약 3주에 불과했습니다.

취약점 공개부터 악용까지 걸리는 평균 시간이 2018년에는 2년 이상이었으나, 2026년에는 마이너스 7일로 줄어들었습니다.

현재 Mandiant M-Trends 데이터에 따르면 이 추정치는 마이너스 7일입니다. 즉, 취약점이 공개되기 일주일 전부터 악용이 시작될 수 있다는 뜻입니다. 반면, 방어자가 대응할 수 있는 시간이 급격히 줄어들었음에도 불구하고 패치를 배포하는 데 필요한 평균 시간은 약 20일로 사실상 변함이 없습니다.

그렇다고 해서 보안 및 IT 팀이 단순히 더 빠르게 작업해야 한다는 뜻은 아닙니다. 기업 환경 전반에 패치를 배포하려면 테스트, 변경 관리, 유지보수 계획 수립, 가용성 보장, 팀 간 조율이 필요합니다. 이러한 절차가 존재하는 데는 타당한 이유가 있습니다. 변경 사항을 운영 환경에 성급하게 적용하면 그 자체로 보안 및 비즈니스 위험을 초래할 수 있습니다.

문제는 이러한 프로세스가 일반적으로 방어자에게 더 많은 시간이 주어지던 보안 환경을 전제로 설계되었다는 점입니다.

공격 역량 확보가 점점 더 쉬워지고 있습니다

프런티어 AI는 누가 더 빠르게 활동할 수 있는지도 바꾸고 있습니다.

가장 발전된 모델에 많은 관심이 쏠리지만, 더 큰 흐름이 더 중요할 수 있습니다. 널리 이용할 수 있는 AI 모델은 이미 리버스 엔지니어링, 침투 테스트, 취약점 연구 등의 작업을 지원할 수 있습니다. 동시에 에이전트를 활용한 레드팀 활동과 웹 취약점 평가를 중심으로 새로운 프로젝트들이 등장하고 있습니다.

최첨단 영역에서 처음 등장한 역량이 언제까지나 그 영역에만 머무르는 경우는 드뭅니다. 모델의 성능이 향상되고 공격 도구의 사용이 쉬워지면서, 더 다양한 공격자들이 정교한 취약점 탐지 및 익스플로잇 개발 기법을 활용할 수 있게 되었습니다.

이로 인해 취약점 관리는 다른 인간 운영자와의 속도 경쟁에서 점차 자동화가 주도하는 양상으로 바뀌고 있습니다. 이는 불편한 질문을 던집니다. 조직이 안전하게 패치 작업을 완료하기도 전에 공격자가 행동에 나설 수 있다면 어떻게 될까요?

패치만으로 모든 부담을 감당할 수는 없습니다

패치 적용은 여전히 필수적입니다. 하지만 취약점이 공개되기 전에 악용될 수 있는 상황에서는 조직이 취약점 조치만으로 위험에 노출되는 기간을 충분히 빠르게 줄일 수 있다고 가정해서는 안 됩니다. 그렇다고 소프트웨어 변경의 안전성을 보장하는 운영상의 안전장치를 무작정 없앨 수도 없습니다.

대신 보안 책임자는 취약점 발견부터 조치 완료까지의 기간을 더 폭넓게 고려해야 합니다. 패치가 필수 테스트와 승인 절차를 거치는 동안 조직은 어떻게 위협 노출을 줄일 수 있을까요? 어떤 자산에 우선적으로 대응해야 하는지 어떻게 파악할 수 있을까요? 허용할 수 없는 운영 위험을 초래하지 않으면서 보안 보호 체계가 더 신속하게 대응하도록 하려면 어떻게 해야 할까요?

이러한 문제는 보안과 운영 모두의 과제가 되고 있습니다. 또한 조직이 회복탄력성을 바라보는 관점에 더 큰 변화가 필요함을 시사합니다.

목표는 단순히 기존 프로세스를 더 빠르게 실행하는 것이 아니라, 기업에 여전히 필요한 엄격한 관리 체계와 가시성, 책임성을 유지하면서 AI 기반 위협에 대응할 수 있는 운영 모델을 구축하는 것입니다.

기술은 위협 대응에 핵심적인 역할을 하겠지만, 솔루션의 일부일 뿐입니다. 조직이 어려움을 겪는 이유는 보안 도구가 부족해서가 아니라, 운영 체계가 위협 환경의 변화 속도를 따라가지 못하기 때문인 경우가 많습니다.

패치를 적용할 수 있는 시간이 더 이상 남지 않으면 어떻게 될까요?

F5 Post Mythos Security Summit에서 진행하는 제 세션 “패치 속도가 위협을 따라가지 못할 때,”에서는 기존의 취약점 해결 일정으로 AI 속도로 진화하는 위협에 대응해야 하는 상황에서 보안 및 운영 책임자들이 무엇을 할 수 있는지 살펴보며, 이 문제를 이론에서 실무로 확장합니다. 또한 조직이 보안 태세를 강화하기 위해 취할 수 있는 구체적인 조치를 제시하고, 방어자가 위협의 속도를 따라갈 수 있도록 F5가 이 과제에 어떻게 접근하고 있는지 소개합니다.

해답은 보안의 기본 원칙을 포기하거나 AI라는 만능 해결책에 기대는 것이 아닙니다. 대응할 수 있는 시간이 급격히 달라진 상황에서 조직이 이러한 기본 원칙을 어떻게 지켜 나갈 수 있을지 모색하는 것입니다.

Watch my on-demand session at the F5 Post-Mythos Security Summit에서 진행한 제 세션의 온디맨드 영상을 시청하고, 프런티어 AI 시대의 현대적인 패치 적용 방식에 대해 자세히 알아보세요.

작성자 소개

Michael Montoya최고 기술 운영 책임자 | F5

Michael은 보안과 회복탄력성을 핵심 가치로 삼아 회사를 운영하기 위한 전사적 전략 수립과 실행을 책임지고 있습니다. 그는 F5의 보안, 리스크 및 디지털 운영 조직을 이끌며 고객, 파트너 및 직원이 운영 전반에 걸쳐 신뢰할 수 있는 환경을 조성하고 있습니다. Montoya는 2021년부터 2025년까지 F5 이사회에서 활동한 후 2025년 10월 F5의 경영진에 합류했습니다. F5에 합류하기 전에는 BlueVoyant의 최고운영책임자(COO)를 역임했으며, 그 이전에는 Equinix와 Digital Realty에서 최고정보보안책임자(CISO)를 지냈습니다. 또한 Microsoft에서 10년 넘게 근무하며 최고사이버보안책임자, 유럽·중동·아프리카(EMEA) 및 아시아 지역 CIO/CISO, 데이터센터 운영 글로벌 총괄 등 글로벌 리더십 직책을 맡았습니다.

Michael Montoya의 다른 블로그 게시물