레드햇 “AI 시대에도 ‘책임 있는 취약점 공개’ 원칙 지켜야”

아이티데일리에 따르면 레드햇은 3일 생성형 AI·자동화 도구 확산을 배경으로 잠재적 보안 결함 탐지 속도가 급증하고 있다고 밝혔다. 레드햇은 이 같은 탐지 속도가 개발·보안팀의 분석·해결 역량을 크게 상회하는 흐름이 형성됐다고 봤다.

레드햇은 특히 2026년 4월 '미토스 프리뷰(Mythos Preview)' 공개 이후 이런 상황이 가속화됐다고 분석했다. 또 레드햇은 해당 국면을 '취약점 대재앙(Vulnpocalypse)'으로 정의했다.

레드햇은 AI 도구가 공격자 활동의 진입장벽을 낮추고 보안 담당자의 검증 부담을 키우고 있다고 분석했다. 그러면서 기계의 탐색 속도로 인간 간 신뢰를 대체할 수는 없다고 지적했다.

레드햇은 AI 기반 취약점 탐색 급증 국면에서도 보안 엠바고를 유지할 필요가 있다고 주장했다. 아울러 '조율된 취약점 공개(Coordinated Vulnerability Disclosure, CVD)' 원칙을 철저히 준수해야 한다고 강조했다. 또한 엠바고 파기·정보 유출 시 대응 비용이 발생하며, 그 비용과 피로의 부담 주체는 실무 담당자라고 지적했다.

레드햇은 취약점 탐색이 보안 프로세스의 첫 단계라고 지적하면서도, 그 자체보다 이후 대응 과정이 더 중요하다고 설명했다. 특히 핵심으로는 전문가 유효성 검증과 실제 영향도 평가, 검증된 패치 제작, 배포 지침 수립을 제시했다.

레드햇은 이런 대응이 오픈소스 생태계 보안 기반 위에서 이뤄진다고 봤다. 이 기반은 연구자·프로젝트 유지 관리자(Maintainer)·조율자·운영 조직의 협력으로 형성되며, 필수 절차로는 불필요한 혼란을 최소화하기 위한 조율된 공개가 요구된다고 설명했다.

레드햇은 취약점 공개 전에 대응책을 준비하기 위한 보안 엠바고의 중요성도 강조했다. 보안 엠바고는 단순 정보 은폐가 아니라, 방어자에 전술적 선행 시간(Tactical Head Start)을 제공하는 기능을 한다고 설명했다.

반대로 합의 일정이 파기되면 위험이 커질 수 있다고 레드햇은 봤다. 익스플로잇 코드 조기 공개나 코드 변경 내역을 통한 결함 노출이 발생하면 준비 기간이 소멸하고, 그 결과 생태계 전체의 신뢰가 붕괴할 가능성이 있다고 지적했다.

엠바고가 무너지면 그 피해가 전가되는 대상은 현장 인력이다. 2021년 로그4쉘(Log4Shell) 사태에서도 공식 패치 배포 전에 악용이 시작됐고, 이로 인해 엔지니어들은 긴급 패치와 시스템 변경 작업에 투입됐다.

소규모 오픈소스 업스트림 프로젝트는 소수 인력으로 운영된다. 이들은 중복되거나 실효성이 부족한 AI 생성 취약점 제보로 부담을 떠안고 있으며, 그 결과 번아웃에 직면하고 있다. 최근 '컬(curl)' 프로젝트가 심각도 낮은 취약점 제보의 처리 방식을 변경한 일도 이런 검증 역량의 한계를 보여준다.

이런 문제를 두고 레드햇은 대안으로 취약점 위험 수준별 유연한 조율을 제시했다. 레드햇은 심각도 낮은 결함은 커뮤니티 내에서 공개적으로 논의해 부담을 분산하고, 실제 악용 가능성이 높은 고위험 취약점은 패치 준비 시점까지 정보 공유 범위를 엄격히 제한해야 한다는 입장이다.

엔터프라이즈 기업의 역할은 업스트림 프로젝트에 부담 없는 실질 지원을 제공하는 데 있다. 이를 위해 신속한 패치 요구에 그치지 않고, 공식 소통 채널을 준수하며, 엔지니어링 인력을 직접 투입하고, 검토 역량도 직접 제공해야 한다.

이런 접근과 관련해 레드햇은 자사 제품 보안팀을 통해 안전한 제보를 접수하고, 엠바고 조율을 진행해 왔다. 또한 오픈소스 취약점 대응 협력 프로젝트 '아크리테스(Akrites)'에 참여하고, 커뮤니티의 자율성을 존중하는 기술 지원을 지속해 왔다.

레드햇 포트폴리오 보안 아키텍트인 에밀리 폭스(Emily Fox)는 AI의 취약점 탐지 속도가 가속되더라도, 기계의 속도로 사람 사이의 신뢰를 대체할 수는 없다는 입장을 밝혔다. 그는 보안 리더십의 핵심이 먼저 공개하는 속도 경쟁에 있지 않으며, 생태계 전체의 안전한 발전을 위해서는 합의와 신뢰를 유지하는 일이 중요하다고 설명했다.

출처: 아이티데일리 (IT DAILY) · 권영석 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242657

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242657