[서울=뉴시스]박은비 기자 = 인공지능(AI)이 시스템 허점을 찾아내 공격하는 시간을 획기적으로 줄이면서 사이버 보안의 판도가 바뀌고 있다.

 과거에는 심각한 취약점이 발견됐을 때 얼마나 빨리 보안 패치를 개발·배포하느냐가 중요했다면, 이제는 패치를 얼마나 신속하게 실제 시스템에 적용하느냐가 핵심 과제로 떠올랐다. 아무리 좋은 약이 나와도 환자가 먹지 못하면 무용지물이 되는 까닭이다.

최근 불거진 'PHP 취약점' 사태는 기존 보안 체계의 한계를 고스란히 드러냈다. 전 세계 웹사이트에 널리 쓰이는 개발 언어 'PHP'에서 치명적 결함 2건이 확인되자마자 보안 패치가 나왔다. 그러나 정작 현장에선 보안 패치를 바로 적용하지 못하고 발만 동동 굴렀던 곳들이 상당수다.

기술 지원이 종료된 구형 버전을 사용하는 시스템이 대표적이다. 사이버보안 스타트업 맬러리에 따르면 전 세계 인터넷 노출 서비스 중 PHP 8.1 이하 버전의 비중은 73.5%에 달한다.

일부 운영체제 배포판이나 상용 공급업체가 별도의 보안 패치를 제공하기도 하지만, 이를 적용하기 어려운 사업자는 취약점에 그대로 노출될 수 있다.

 시스템 버전을 바꾸는 데 드는 시간과 비용이 만만치 않기 때문이다. 오래된 서비스는 최신 버전과 호환되지 않을 수 있고, 개발 당시 시스템을 구축하거나 관리했던 인력이 이미 회사를 떠난 경우도 적지 않다.

소스코드가 제대로 관리되지 않거나 외부 업체가 개발한 프로그램의 내부 구조를 파악하기 어려운 사례도 있다. 자체 IT 인력이 부족한 소상공인이나 중소기업은 코드를 수정할 역량이 없어 사실상 '코드 고아' 상태에 놓이기도 한다. 이 같은 환경에서는 보안 패치를 적용하려 해도 어떤 시스템이 영향을 받는지 파악하는 데부터 상당한 시간이 걸린다.

보안 업계 관계자는 "개발 언어가 버전에 따라 내부 구현이 크게 달라지는 경우가 많다"며 "PHP 취약점에 대응하기 위한 패치 적용이 전체적으로 완료되기까지 수개월에서 수년은 걸릴 수도 있다"고 토로했다.

전문가들은 이번 사태가 장기간 미뤄온 보안 투자와 시스템 교체가 누적되면서 드러난 구조적 한계라고 지적한다. 보안 조치를 미루면서 쌓인 '보안 부채'와 노후 시스템의 교체·관리를 미루면서 발생한 '유지보수 부채'가 취약점 대응을 가로막고 있다는 것이다.

두 부채는 악순환을 만든다. 유지보수를 미루면 패치를 적용하는 데 더 오랜 시간이 걸리고, 그 사이 보안 구멍은 더 넓어진다. AI가 취약점을 찾아내는 속도가 빨라질수록 기업이 감당해야 할 대가는 걷잡을 수 없이 커진다. 단순히 보안 담당자에게 패치를 서두르라고 주문하는 방식 만으로는 한계가 있다는 지적이 나오는 이유다.

이원태 국가AI전략위원회 보안특별위원장(국민대 특임교수)는 "구형 소프트웨어와 유지보수 책임자가 사라진 코드가 쌓인 환경에서는 패치가 나와도 호환성 검증과 서비스 중단 우려 때문에 적용이 지연될 수 밖에 없다"며 "대안은 '패치를 빨리 하라'는 주문을 넘어, 신속하게 고칠 수 있는 운영체계를 제도화하는 것"이라고 설명했다.

 실제로 해외에서는 자산과 취약점을 지속적으로 점검하고 노후 시스템을 관리하도록 하는 정책이 추진되고 있다. 이 교수에 따르면, 미국 사이버보안·인프라보호청(CISA)은 연방 기관들에 최소 7일 간격으로 자동으로 자산 탐색을 수행하고 14일마다 취약점 점검을 개시하도록 의무화했다.

영국 정부 역시 '기술부채와 노후 시스템 예방' 지침에 따라 모든 디지털 제품·서비스에 '노후화 예방계획'을 세우도록 지침을 마련했다. 노후 기술의 관리 책임자를 정하고 시스템 업그레이드 재원을 반드시 확보하도록 규정했다.

우리 정부도 범부처 차원의 종합 대책을 마련 중이다. 배경훈 부총리겸 과학기술정보통신부 장관은 전날 국회 종합감사에서 "정부 차원에서도 문제의식을 굉장히 심각하게 생각하고 있다"며 "범정부 사이버 보안 종합 대책을 마련하겠다"고 밝혔다.

AI를 활용한 보안 점검이 확산하면서 취약점을 발견한 뒤 안전하게 검증하고 공개하는 절차도 새로운 과제로 떠오르고 있다.

AI는 방대한 소스코드를 분석해 사람이 놓친 결함을 찾아낼 수 있다. 하지만 취약점의 영향과 재현 가능성을 충분히 검증하지 않은 채 관련 정보가 외부에 공개되면 실제 위험을 제대로 파악하기 어려워지고 불필요한 혼란이 커질 수 있다.

이번 PHP 취약점의 확인과 패치 공개 과정에서도 일부 기업이 정보를 예정보다 일찍 공개해 혼란을 키웠다는 지적이 제기됐다.

현재 취약점 정보는 개별 기업이나 여러 기관의 연합을 통해 공개되고 있다. 공개 주체와 검증 절차가 분산된 상황에서 확인되지 않은 정보까지 빠르게 확산하면 실제로 악용 가능한 취약점과 과장되거나 불완전한 경고를 구분하기 어려워질 수 있다. 개방성과 자율성을 기반으로 운영되는 오픈소스 생태계의 특성상 취약점 공개를 일률적으로 통제하기도 쉽지 않다.

전문가들은 취약점 발견 사실을 공개하거나 패치를 배포하는 데서 그치지 않고, 실제 운영 환경에서 문제가 해결됐는지 확인할 수 있는 체계가 필요하다고 강조한다. 취약점 공개 건수나 패치 배포 속도만으로 대응 성과를 평가하기보다 취약한 시스템이 얼마나 줄었는지, 기술 지원이 종료된 소프트웨어가 얼마나 남아 있는지 등을 지속적으로 점검해야 한다는 것이다.

강정민 고려대 교수는 "궁극적으로 필요한 건 사람과 AI가 협업하는 방어 체계가 실제 공격 상황에서 안정적으로 작동하는지 검증하는 훈련"이라며 "앞으로는 단순히 공격을 얼마나 잘 막느냐보다, 침해를 당한 상태에서도 서비스를 얼마나 안정적으로 유지하느냐가 AI 시대 보안의 진짜 경쟁력"이라고 제언했다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지