AI를 활용한 소프트웨어 취약점 탐지 능력이 크게 향상되면서 공격 위험도 함께 커지고 있습니다. 이에 대응해 OpenSSF는 AI 기반의 취약점 발견 및 수정 절차를 체계화하고, 발견과 검증 단계를 엄격히 분리하는 대응 방향을 제시했습니다.
AI 기반 보안 위협의 가속화와 현실
소프트웨어 개발 생태계에서 AI의 역할이 커지면서 취약점 탐지 능력은 높아졌지만, 같은 기술이 공격자들 손에는 강력한 무기를 쥐여 주었습니다. 공격자들의 움직임은 이미 수치로 나타나고 있습니다. CrowdStrike 2026 Global Threat Report에 따르면 AI 기반 공격자가 일으킨 공격 횟수는 전년 대비 89%나 늘었고, 보안 위협의 강도를 계속 높이고 있습니다.
개발자와 취약점 연구자에게 AI는 효율적인 도구지만, 공격자가 이미 실전에서 활용하고 있다는 점은 심각한 경고입니다. AI를 단순히 도입하는 것을 넘어, 어떻게 안전하게 활용하고 AI가 생성한 결과물을 어떻게 검증할지 정한 표준화된 가이드라인이 시급한 상황입니다.
OpenSSF AI 취약점 발견 및 수정 가이드 개요
이러한 위협에 대응해 OpenSSF는 소프트웨어 개발자와 취약점 연구자를 위한 ‘AI 기반 취약점 발견 및 수정 가이드(Finding and Fixing Software Vulnerabilities Using AI: A Guide for Developers)’를 공개했습니다.
이 가이드는 David A. Wheeler와 OpenSSF 기여자들이 작성했으며, OpenSSF Best Practices 워킹그룹과 AI/ML 워킹그룹이 공동으로 개발한 결과물입니다. 핵심 목적은 개발자가 자신의 소프트웨어 내 취약점을 스스로 찾고 고치는 능력을 기르고, 보안 연구자들이 이를 효과적으로 돕는 방법론을 제공하는 데 있습니다.
가이드가 제시하는 전반적인 대응 프로세스는 다음 단계들로 이루어져 있습니다.
- 접근 방식 결정 (Decide on approaches): AI를 어떤 방식으로 취약점 탐지에 활용할지 전략을 수립합니다.
- 준비 (Prepare): 분석 대상 코드와 AI 도구의 환경을 설정합니다.
- 발견 및 수정 (Find and fix): AI로 잠재적 취약점을 식별하고 해결책을 모색합니다.
- 예방 (Prevent): 동일한 취약점이 재발하지 않도록 방어 체계를 구축합니다.
AI 활용 취약점 대응의 핵심 원칙
AI로 보안을 강화하는 작업에서 가장 위험한 요소는 AI의 결과물을 무비판적으로 받아들이는 것입니다. OpenSSF는 이를 막기 위해 두 가지 핵심 원칙을 강조합니다.
발견과 검증의 엄격한 분리
AI로 취약점을 찾을 때는 ‘발견’ 단계와 ‘검증’ 단계를 반드시 분리합니다. 한 단계에서 가능성 있는 취약점(findings)을 짚었다면, 별도의 독립적인 단계에서 다시 확인하고 확정하는 절차를 거칩니다. AI가 만들어 낼 수 있는 허위 탐지(False Positive)를 걸러내고 실제 위협만 정확히 식별하기 위한 필수적인 조치입니다.
AI 생성 패치에 대한 무신뢰 원칙
AI가 제안한 수정 코드나 패치를 맹신하면 위험합니다. 문법적으로는 완벽해 보여도 논리적으로 결함이 있거나, 오히려 새로운 취약점을 만드는 패치를 제안할 수 있기 때문입니다. AI가 생성한 모든 패치는 다음 안전 장치를 반드시 통과해야 합니다.
- 자동화된 테스트 스위트(Automated test suites): 패치 적용 후 기존 기능에 미치는 영향과 보안성을 자동화된 테스트로 검증합니다.
- 인간의 피어 리뷰(Human peer review): 숙련된 보안 전문가나 동료 개발자의 검토를 거쳐 머지(merge) 여부를 정합니다.
AI 기반 취약점 관리의 일반적인 프로세스와 OpenSSF가 권고하는 통제 지점을 정리하면 다음 표와 같습니다.
| 단계 | AI의 역할 | OpenSSF 권고 통제 지점 | 핵심 목적 |
|---|---|---|---|
| 취약점 탐지 | 잠재적 취약점 후보 식별 | 발견과 검증 단계의 완전 분리 | 오탐지 제거 및 정확도 향상 |
| 패치 생성 | 수정 코드 및 해결 방안 제안 | 자동화 테스트 및 인간의 피어 리뷰 필수 | 2차 취약점 유입 방지 및 안정성 확보 |
| 프로세스 관리 | 분석 및 예방 전략 보조 | 접근-준비-발견/수정-예방 단계 준수 | 체계적인 보안 생명주기 관리 |
향후 교육 과정 및 확장 계획
OpenSSF는 가이드라인 제공에 그치지 않고, 이를 실무 수준으로 익힐 수 있게 교육 체계도 구축할 계획입니다.
가이드 내용을 바탕으로 퀴즈와 최종 시험이 포함된 온라인 교육 과정인 ‘LFD126’을 향후 몇 달 내에 출시할 예정입니다. 더 많은 개발자와 보안 연구자가 AI를 활용한 취약점 탐지와 수정 역량을 표준화된 방식으로 익히게 될 것으로 기대됩니다.
AI는 공격자에게 강력한 도구가 된 만큼 방어자에게도 필수적인 도구가 되었습니다. 다만 AI의 생산성에 기대기보다, OpenSSF가 제시한 ‘분리된 검증’과 ‘인간 중심의 최종 리뷰’라는 엄격한 통제 체계를 적용할 때 비로소 진정한 보안 수준의 향상이 이루어집니다.