인공지능(AI)의 발전이 사이버 보안 환경을 급격히 변화시키고 있습니다. 이제는 버그에 대한 대략적인 정보나 수정 패치 공개만으로도 AI 에이전트가 단 몇 분 만에 실제 공격 코드를 만들어내는 상황이 현실이 되었습니다. 최근 OCaml cohttp 6.3.0의 경로 순회 취약점 수정 풀 리퀘스트(PR)가 공개되자, 불과 10분 만에 라이브 웹 서버에서 해당 취약점을 노린 탐색 요청이 감지된 사례는 이러한 변화를 극명하게 보여줍니다.
과거에는 취약점 발견 시 비공개로 수정하고 영향받는 사용자에게 알린 뒤 공개 권고를 발행하는 '보안 엠바고' 방식이 일반적이었습니다. 하지만 AI 에이전트는 상세 패치 정보 없이도 취약점을 스스로 조사하고 공격 방법을 생성할 수 있어 이 전제가 흔들리고 있습니다. 실제로 GPT-4 에이전트는 CVE 설명이 있을 때 15개 취약점 벤치마크의 87%를 악용했지만, 설명이 없을 때도 7%의 성공률을 보였습니다. 2026년에는 평균 악용 소요 시간(mean time to exploit)이 패치 공개보다 7일 빠른 '-7일'로 예측되며, 이는 공격이 패치보다 먼저 시작된다는 의미입니다. marimo와 Langflow의 최근 취약점도 공개 후 각각 9시간, 20시간 만에 공격 시도가 발생하며 이러한 추세를 뒷받침합니다.
이러한 변화는 오픈소스(OSS) 유지보수자들에게 새로운 과제를 안겨줍니다. AI는 취약점과 익스플로잇(exploit)을 빠르게 생성하지만, 유지보수자의 검증, 분류, 우선순위 결정, 릴리스 처리 속도는 여전히 느려 '방어자 수정 처리량'이 새로운 병목으로 부상했습니다. 따라서 OSS 프로젝트는 비공개 협업에만 의존하기보다 지속적 릴리스, 생태계 간 패키지 추적, 다중 플랫폼 품질 관리, 그리고 프로토콜 계층에서의 가상 패치(virtual patch)를 결합하여 정보 유출 후 수초 안에 시작될 수 있는 공격에 대응해야 합니다. 이는 취약점 발견부터 수정, 배포까지의 전 과정을 자동화하고 가속화하는 방향으로 보안 전략을 전환해야 함을 시사합니다.