AWS, AI 기반 코드 취약점 대응 서비스 ‘AWS 컨티뉴엄’ 출시

AWS가 보안 서비스 '코드 취약점용 AWS 컨티뉴엄(AWS Continuum for code vulnerabilities)'을 정식 출시했다고 5일 발표했다. AWS 컨티뉴엄은 AI를 활용하며, 애플리케이션 코드의 취약점을 식별하고 취약점을 검증하며 수정 패치를 제시하는 기능을 갖췄다.

이 같은 출시는 최근 공격자들이 프런티어 AI 모델을 활용하는 상황과 맞물린다. 취약점이 공개된 직후 수 분 내에 공격 코드(익스플로잇)를 생성할 수 있는 만큼 위협 대응 속도의 중요성이 커지고 있다는 점이 배경으로 제시됐다.

동시에 개발 환경의 정적 분석 스캐너에서는 하루 수천 건의 경보가 발생한다. 이들 경보 중 다수는 런타임 통제로 방어가 가능하거나 실제로 도달이 불가한 오탐이어서, 보안팀과 개발팀의 우선순위 선별 부담을 키우고 우선순위 선별에 많은 시간과 자원을 소모하게 하는 상황이다.

기존 CVSS 심각도 점수만으로는 핵심 시스템의 실질적 도달 가능성을 판단하기 곤란했다. 이 때문에 수정 패치 적용 전 영향 범위(Blast Radius)를 조율하는 과정에서 수일의 병목이 발생하는 한계가 있었다. AWS 컨티뉴엄의 목적은 이러한 간극을 축소하는 데 있다.

AWS 컨티뉴엄은 실제 악용 가능한 위협을 입증하고, 비즈니스 맥락 기반으로 우선순위를 재정의하는 기능을 갖췄다. 서비스는 고객 코드 저장소와 AWS 인프라 환경을 결합한 컨텍스트 그래프(Context Graph)를 생성하는 방식으로 작동한다. 이 과정에서 AWS 컨피그(AWS Config)와 네트워크 구성 정보를 수집한다.

이 서비스는 취약점의 외부 네트워크 접근 가능 여부와 데이터베이스·결제 파이프라인·인증 시스템 등 고가치 자산까지의 도달 경로를 분석한다. 또 취약점 악용 가능성을 입증하기 위해 격리된 샌드박스 환경에서 재현 테스트를 수행한다. 이를 바탕으로 개념 증명(PoC) 코드와 재현 절차를 제공한다.

분석 결과는 단순 점수가 아니라 실증적 증거에 기반한 성격을 갖는다. AWS 컨티뉴엄은 이를 통해 우선순위를 다시 판단하는 동시에, 고객의 기존 방어 체계가 해당 공격 경로를 차단할 수 있는지 여부도 평가한다.

AWS 컨티뉴엄은 검증된 취약점에 대한 조치안을 개발자 일상 워크플로우와 연계하는 방식으로 전달한다. AWS 컨티뉴엄이 생성하는 수정안은 코드 패치, 종속성 라이브러리 업그레이드, 환경 구성 변경을 포함한다. 수정안은 GitHub 저장소 PR 방식으로 등록된다.

이후 모든 수정 절차는 담당 개발자가 위험 평가와 근거를 확인한 뒤 승인 및 Merge하는 구조로 진행된다. 해당 설계의 목적은 운영 안정성을 담보하는 데 있다.

AWS는 향후 고객 정의 가드레일 기준을 충족하는 경우에 자율 기능을 단계적으로 지원할 계획이다. 가드레일의 예시로는 테스트 커버리지와 과거 성공률이 제시됐다. 자동 반영 대상은 신뢰도 확보된 패치 유형으로 제한된다.

AWS 컨티뉴엄 콘솔에서는 GitHub 연동 스캔 환경 구성과 Amazon S3 버킷 소스 지정 스캔 환경 구성이 가능하다. 또한 콘솔은 비즈니스 영향도·공격 경로 결합 정제 이슈 목록을 제공한다. 이는 비교 대상인 단순 원본 경보 목록과 구분되는 정보다.

출처: 아이티데일리 (IT DAILY) · 권영석 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242712

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242712