미공개 취약점 발굴 속도가 빨라지면서 초기 침투 비용은 낮아지고 기존 위협 모델은 재검토가 필요해지고 있다

Author: UMV 유엠브이기술

Published Date: 7월 22, 2026

핵심 요약

AI는 기존에 알려지지 않았던 소프트웨어 취약점을 빠르게 찾아내는 데 활용되고 있습니다.
현재 가장 큰 변화는 사이버 킬체인 전체의 자동화가 아니라 정찰, 취약점 연구, 초기 침투 등 공격 초기 단계에서 나타나고 있습니다.
과거에는 국가 지원 조직이나 대규모 연구팀이 주로 보유하던 취약점 분석 역량이 API 비용을 감당할 수 있는 소규모 공격자에게까지 확산될 가능성이 커졌습니다.
AI 에이전트는 소스코드 기반 정적 분석뿐 아니라 실제 서비스를 상대로 한 동적 취약점 탐색에도 활용될 수 있습니다.
권한 상승, 횡적 이동, 탐지 회피 등 침투 이후 단계에는 여전히 숙련된 공격자의 역량이 필요하지만, 초기 접근 속도가 빨라지면 전체 공격 비용과 시간이 크게 줄어듭니다.
방어 조직은 AI 기반 감사를 기존 정적 분석, 퍼징, DAST, 모의 침투 테스트 및 취약점 관리 절차에 통합해야 합니다.

AI가 사이버 킬체인 전체를 대체하는 것은 아니다

사이버 보안 분야에서 인공지능을 둘러싼 논의는 흔히 두 가지 극단으로 나뉩니다.

한쪽에서는 AI가 기존 소프트웨어 보안 체계를 무너뜨릴 것이라고 주장합니다. 반대쪽에서는 AI 보안 기술이 과장됐으며 머지않아 관심에서 사라질 것이라고 평가합니다.

그러나 실제 변화는 이 두 주장 사이에서 나타나고 있습니다.

AI는 이미 취약점 탐색 분야에서 실질적인 성과를 보이고 있습니다. 현재 가장 중요한 변화는 정교한 사이버 공격 전체를 자동화하는 것이 아니라, 사이버 킬체인 앞부분에 위치한 느리고 비용이 많이 드는 작업을 가속하는 데 있습니다.

정찰, 소스코드 검토, 취약점 가설 수립, 테스트 입력 생성, 익스플로잇 가능성 검증은 전통적으로 상당한 시간과 전문 인력을 필요로 했습니다. AI가 이 과정을 수주에서 수시간으로 단축한다면 이후 공격 단계의 경제성도 근본적으로 달라질 수 있습니다.

알려지지 않은 취약점을 찾는 비용이 낮아지고 있다

원문에서 소개된 최근 연구들은 AI 기반 취약점 탐색이 단순한 실험 단계를 넘어 실제 소프트웨어에 적용되고 있음을 보여줍니다.

Google의 Big Sleep 에이전트는 2024년 말 SQLite에서 악용 가능한 메모리 안전성 문제를 발견한 것으로 알려졌습니다. 이후 메모리 손상으로 이어질 수 있는 CVE-2025-6965를 공격 캠페인이 본격화되기 전에 찾아내 패치가 적용되는 데 기여했습니다.

DARPA의 AI Cyber Challenge에서도 자율형 사이버 추론 시스템이 소프트웨어를 분석하고 취약점을 발견하며 패치를 생성할 수 있음을 보여줬습니다. 참가 시스템들은 테스트 환경에 포함된 다수의 합성 취약점을 찾아냈으며, 실제 소프트웨어에서 이전에 알려지지 않았던 문제도 추가로 식별했습니다.

개인 연구자 역시 상용 AI 모델과 비교적 적은 API 비용만으로 유사한 성과를 내고 있습니다. 원문에서는 보안 연구자 Sean Heelan이 OpenAI의 o3 모델을 활용해 Linux 커널의 SMB 구현에 영향을 미치는 원격 취약점 CVE-2025-37899를 발견한 사례를 소개합니다.

중요한 점은 AI가 단순히 버그를 찾을 수 있다는 사실만이 아닙니다. 실제 의미는 유의미한 취약점 연구에 필요한 시간과 비용이 지속적으로 낮아지고 있다는 데 있습니다.

AI 기반 취약점 탐색의 두 가지 방식

AI를 활용한 취약점 연구는 크게 정적 감사와 능동형 탐색으로 나눌 수 있습니다.

정적 감사

정적 감사는 실행 중인 시스템과 직접 통신하지 않고 소스코드, 컴파일된 바이너리 또는 소프트웨어 의존성을 분석하는 방식입니다.

AI 기반 감사는 다음과 같은 영역을 검토할 수 있습니다.

입력값 검증 로직
파일 업로드 기능
데이터 파싱 구성요소
인증 및 권한 처리
사용자 제어 데이터의 흐름
민감한 함수 호출
신뢰 경계 위반
서드파티 라이브러리와 의존성

AI는 의심스러운 코드 경로를 식별하고, 취약점 가설을 세우며, 잠재적인 PoC 입력값을 생성하고, 테스트 결과를 바탕으로 분석을 반복할 수 있습니다.

이 과정에서 사람의 검증은 여전히 필수적입니다. 다만 AI는 연구자가 실제 취약점 후보에 도달하기 전까지 수행해야 했던 반복적이고 시간이 많이 드는 분석을 크게 줄일 수 있습니다.

능동형 탐색

능동형 탐색은 소스코드에 접근하지 않은 상태에서 실행 중인 애플리케이션과 직접 상호작용하는 방식입니다.

AI 에이전트는 요청을 전송하고 응답 내용, 오류 메시지, 처리 시간, 본문 길이 등을 비교한 뒤 다음에 시도할 입력값을 결정할 수 있습니다. 이 방식은 단순 패턴 매칭보다 상황 해석과 연속적인 추론이 필요한 취약점 탐색에 특히 적합합니다.

정적 분석이 다음 공개 CVE를 만들어낼 수 있다

Apache Struts는 AI 기반 소스코드 분석이 향후 공격에 어떤 영향을 미칠 수 있는지 보여주는 대표적인 사례입니다.

과거 Struts 취약점은 신뢰할 수 없는 데이터가 보안 경계를 넘어 잘못된 가정 아래 처리되면서 발생한 경우가 많았습니다. 주요 분석 대상은 다음과 같습니다.

Multipart 데이터 파싱
OGNL 표현식 평가
파일 업로드 처리
네임스페이스 라우팅
요청 디스패치 로직

AI 에이전트는 이러한 구성요소를 분석해 공격자가 제어하는 입력값이 충분한 검증 없이 민감한 작업으로 연결되는 지점을 찾을 수 있습니다. 이후 샌드박스 환경에서 후보 입력값을 반복적으로 생성하고 실행하면서 취약점 가능성을 좁힐 수 있습니다.

정상적인 보안 연구자는 이러한 기능을 활용해 취약점을 발견하고 책임 있게 공개할 수 있습니다.

반면 공격자는 동일한 절차를 통해 취약점을 비공개 상태로 발견하고, 자체 환경에서 악용 가능성을 검증한 뒤, 공개 CVE나 보안 패치가 나오기 전에 실제 공격 페이로드를 준비할 수 있습니다. 이는 공격자가 기존 공개 취약점을 기다리는 대신 직접 다음 취약점을 발굴하는 구조로 초기 침투 방식을 변화시킵니다.

AI 기반 취약점 발견 공격 흐름

AI 지원 취약점 발견이 소프트웨어 분석에서 초기 침해와 침해 이후 활동에 이르기까지 공격 과정을 가속화하는 방식을 보여주는 공격 흐름도.

웹쉘은 여전히 실용적인 침투 이후 도구다

원문은 공격자가 Apache Struts와 같은 프레임워크에서 새로운 취약점을 찾아 금융 서비스 기업의 애플리케이션을 침해하는 가상 시나리오를 제시합니다.

공격자가 원격 코드 실행 가능성을 확인한 뒤 파일 기반 또는 메모리 기반 웹쉘을 배포한다면, 애플리케이션 서버에 대한 통제권을 지속적으로 유지할 수 있습니다.

이후 공격은 익숙한 흐름으로 이어질 수 있습니다.

원격 명령 실행
접근 가능한 내부 시스템 탐색
자격증명 수집
횡적 이동
백엔드 데이터베이스 접근
추가 악성코드 배포
민감 정보 탈취

AI는 취약점을 발견하는 속도를 높이지만, 웹쉘은 초기 침투를 장기적인 통제권으로 전환하는 수단으로 계속 활용될 수 있습니다.

따라서 조직은 알려진 취약점뿐 아니라 취약점이 실제로 악용된 이후 웹 서버 내부에서 발생하는 행위도 함께 모니터링해야 합니다.

능동형 탐색은 복잡한 취약점 공격을 대중화할 수 있다

SSRF(Server-Side Request Forgery)는 AI 에이전트가 기존 자동화 스캐너보다 효과적으로 탐색할 수 있는 취약점 유형 중 하나입니다.

많은 SSRF 취약점은 애플리케이션 응답만으로 성공 여부를 명확하게 확인하기 어렵습니다. 탐지 과정에는 다음과 같은 요소가 필요할 수 있습니다.

외부 콜백 확인
응답 시간 분석
내부 IP 주소 접근 테스트
리디렉션 체인 분석
특수 프로토콜 핸들러 테스트
클라우드 메타데이터 서비스 접근
입력 필터 우회
백엔드 동작에 대한 추론

전통적인 자동화 스캐너는 정해진 시그니처나 응답 패턴에 의존하는 경우가 많습니다. 반면 AI 에이전트는 각 요청의 결과를 해석하고 다음 테스트 방향을 스스로 결정할 수 있습니다.

예를 들어 URL 미리보기 기능을 제공하는 애플리케이션을 대상으로 에이전트가 여러 호스트명을 순차적으로 입력하고 응답 시간과 본문 길이를 분석할 수 있습니다. 내부 자원에 접근한 정황을 발견하면 필터 우회를 시도하고, 이후 클라우드 인스턴스 메타데이터 서비스에서 임시 자격증명을 탈취하는 단계로 이어질 수 있습니다. 이 시나리오에서는 웹쉘이 필요하지 않습니다. 공격자가 임시 클라우드 자격증명을 확보하는 순간 침해가 성립되며, 이후 애플리케이션 서버에 부여된 IAM 권한을 악용할 수 있습니다.

AI 기반 SSRF 공격 흐름

이 인포그래픽은 AI가 서버 측 요청 위조(SSRF) 취약점의 발견과 악용을 어떻게 가속화할 수 있는지, 그리고 인터넷에 공개된 애플리케이션에서 시작해 클라우드 리소스에 대한 무단 접근과 데이터 탈취로 이어질 수 있는 공격 과정을 보여줍니다.

초기 접근의 경제성이 달라졌다

침투 이후 공격 기법이 완전히 자동화된 것은 아닙니다.

권한 상승, 탐지 회피, 횡적 이동, 지속성 확보, 최종 목표 수행에는 여전히 숙련된 공격자의 판단과 경험이 중요합니다. AI가 일부 작업을 보조할 수는 있지만, 현재로서는 전문 공격자를 완전히 대체하기 어렵습니다.

그러나 실제로 크게 달라진 부분은 유효한 초기 침투 지점을 찾아내는 비용입니다.

과거 고급 취약점 연구는 전문 인력, 전용 인프라, 장기간의 분석을 필요로 했습니다. AI 기반 감사는 이러한 역량의 일부를 소규모 공격 조직이나 기술 역량을 갖춘 개인에게까지 확장할 수 있습니다.

따라서 기업은 잘 알려지지 않은 오픈소스 라이브러리나 오랫동안 검토되지 않은 소프트웨어 의존성이 공격자의 관심에서 벗어나 있을 것이라고 가정해서는 안 됩니다.

낮은 인지도는 보안 통제가 아닙니다.

방어 조직이 준비해야 할 변화

AI 기반 취약점 탐색의 확산은 보안 조직에 새로운 우선순위를 요구합니다.

소프트웨어 의존성 재평가

조직은 SBOM을 기반으로 오래됐거나 유지보수가 중단됐으며 보안 검토가 부족한 구성요소를 식별해야 합니다.

그동안 연구자의 관심을 받지 못했던 라이브러리도 AI를 이용하면 낮은 비용으로 빠르게 감사할 수 있기 때문입니다.

노출 시간 단축

취약점 발견부터 실제 악용까지의 시간은 앞으로 더욱 짧아질 수 있습니다.

조직은 다음 역량을 개선해야 합니다.

자산 가시성
패치 우선순위 지정
외부 공격 표면 관리
긴급 보안 조치 절차
가상 패치
보완 통제 적용

침투 이후 행위 모니터링

모든 취약점이 실제 공격 전에 공개될 것이라고 가정해서는 안 됩니다.

보안 모니터링 체계는 다음과 같은 징후를 탐지할 수 있어야 합니다.

비정상적인 웹 서버 프로세스
의심스러운 자식 프로세스 실행
승인되지 않은 파일 생성
웹쉘 실행 행위
비정상적인 외부 연결
자격증명 접근
내부 시스템 정찰
이상 클라우드 API 호출

방어 측에서도 AI 활용

공격자와 동일한 기술은 방어자가 코드 분석, 취약점 우선순위 지정, 테스트 생성, 패치 제안에 활용할 수 있습니다.

AI 기반 분석은 다음 기술을 대체하기보다 보완해야 합니다.

정적 애플리케이션 보안 테스트
동적 애플리케이션 보안 테스트
소프트웨어 구성 분석
퍼징
모의 침투 테스트
레드팀 훈련
보안 코드 검토

WSS AI 인사이트: 초기 침투 이후 탐지가 더 중요해진다

AI 기반 취약점 탐색이 확산되면 공격자가 공개된 CVE나 기존 시그니처에 의존하지 않고 먼저 취약점을 찾아 악용할 가능성이 커집니다.

웹 서버 환경에서는 성공적인 취약점 악용 이후 기존 패턴 탐지를 우회하도록 변형된 신종 웹쉘이 설치될 수 있습니다.

이 때문에 서버 내부에 대한 지속적인 모니터링이 더욱 중요해집니다.

WSS AI는 의심스러운 파일과 웹 서버 행위를 분석해 알려진 웹쉘뿐 아니라 변형되거나 이전에 확인되지 않은 웹쉘 탐지를 지원합니다. 공격자가 권한 상승이나 횡적 이동을 수행하기 전에 초기 거점을 식별하면 하나의 애플리케이션 취약점이 기업 전체의 침해 사고로 확산될 가능성을 줄일 수 있습니다. AI 기반 취약점 탐색은 공격자가 서버에 도달하는 시간을 단축합니다. 방어 측의 AI 기반 행위 탐지는 해당 접근이 지속적인 통제권으로 전환되기 전에 대응할 수 있도록 지원합니다.

보안 조직이 검토해야 할 다음 단계

AI 기반 취약점 탐색이 가능한지를 논의하는 단계는 이미 지났습니다.

이제 보안 조직은 이를 기존 운영 체계에 어떻게 통합할 것인지 결정해야 합니다.

주요 검토 사항은 다음과 같습니다.

어떤 핵심 애플리케이션에 AI 기반 코드 감사를 우선 적용할 것인가
충분한 검토를 받지 못한 오픈소스 의존성은 무엇인가
발견된 취약점을 안전하게 검증할 수 있는 환경이 마련돼 있는가
보안 패치 또는 보완 통제를 얼마나 신속하게 배포할 수 있는가
공개 이전의 취약점 악용을 탐지할 수 있도록 웹 서버를 모니터링하고 있는가
소규모 공격자도 고급 취약점 연구 역량을 확보할 수 있다는 점이 위협 모델에 반영돼 있는가

기업은 AI 기반 감사를 기존 보안 연구자와 테스트 기술을 대체하는 도구가 아니라 추가적인 분석 역량으로 활용해야 합니다.

마무리

AI는 사이버 킬체인을 변화시키고 있지만, 가장 즉각적인 영향은 공격의 시작 부분에서 나타나고 있습니다.

AI는 정찰, 소스코드 감사, 취약점 발견, 익스플로잇 검증 속도를 높여 초기 접근에 필요한 비용을 낮추고 있습니다. 과거에는 공개 취약점에 의존하던 공격자도 앞으로는 직접 악용 가능한 약점을 찾아낼 수 있습니다.

방어자 역시 같은 기술을 사용할 수 있지만, 단순히 새로운 AI 보안 제품을 도입하는 것만으로는 충분하지 않습니다. AI 기반 분석을 취약점 관리, 애플리케이션 보안, 패치 운영, 레드팀 훈련, 침투 이후 모니터링 체계에 통합해야 합니다.

사이버 킬체인의 시작점은 이미 이동하고 있습니다. 방어 전략도 그 변화에 맞춰 이동해야 합니다.