지금까지 우리를 지켜준 방어막 중 하나는 기술이 아니었습니다. 최고 수준의 보안 연구자들이 관심을 가질 만한 표적이 한정되어 있다는 사실, 즉 ‘엘리트 주의력의 희소성’이었습니다. 그 방어막이 사라지고 있습니다.

보안 전문가 Thomas Ptacek이 30년 가까이 취약점 연구를 해온 경험을 바탕으로 쓴 글입니다. AI 에이전트가 취약점 연구의 방식과 경제학 모두를 몇 달 안에 바꿔놓을 것이며, 이 결과는 이미 정해졌다고 단언합니다.

출처: Vulnerability Research Is Cooked – Thomas Ptacek (Quarrelsome)

취약점은 항상 “이상한 곳”에 숨어 있었다

1990년대에 첫 스택 오버플로우가 발견됐을 때, 연구자들은 콘퍼런스에 모여 GDB를 붙잡고 씨름했습니다. 10년 뒤엔 폰트 렌더링 라이브러리를 파고들었습니다. 폰트 코드가 보안과 무슨 상관이냐 싶지만, 메모리를 불안정하게 만든 다음 원하는 방향으로 실행 흐름을 제어하려면 간접 점프가 많이 일어나는 코드가 필요했고, 마침 폰트 라이브러리가 그랬습니다.

Ptacek이 이 역사를 꺼내는 이유는 두 가지를 말하기 위해서입니다. 첫째, 취약점은 비밀번호 저장소 같은 ‘뻔한’ 보안 코드가 아니라, 사용자 데이터가 들어와서 처리되는 온갖 경로에 숨어 있습니다. 둘째, 우리는 지금까지 잘 설계된 보안 기술뿐 아니라 엘리트 연구자들의 희소한 주의력 덕분에도 보호받아 왔습니다. Chrome이나 브라우저 같은 고가치 표적에 그 주의력이 집중되는 동안, 병원 시스템이나 라우터 같은 ‘시시한’ 표적들은 사실상 방치돼 있었습니다.

AI는 그 희소성을 없앤다

LLM에게 취약점 탐색은 최적의 문제입니다. 프런티어 모델은 이미 방대한 소스 코드를 학습해서 코드베이스 전반의 연관 관계를 내재화하고 있습니다. 수십 년간 축적된 버그 패턴들—메모리 손상, 정수 오버플로우, 타입 혼동 등—도 가중치 안에 녹아 있습니다. 그리고 에이전트는 지치지 않습니다.

Anthropic 레드팀의 Nicholas Carlini가 이를 실제로 확인했습니다. 소스 저장소의 모든 파일을 순회하며 각 파일마다 같은 프롬프트를 던집니다. “이 파일에서 취약점을 찾아 보고서를 써줘.” 보고서가 나오면 다시 Claude Code에 넣어 실제 악용 가능한지 검증합니다. 성공률은 거의 100%이고, 파이프라인 작성에 15분이면 충분합니다. 이 방식으로 콘텐츠 관리 시스템 Ghost에서 광범위하게 악용 가능한 SQL 인젝션 취약점을 찾아냈고, Claude Opus 4.6은 이런 식으로 검증된 고위험 취약점 500개를 생성했습니다.

Ptacek은 이렇게 표현합니다. 보안 연구자들은 지금까지 시간의 20%를 컴퓨터 과학에, 80%를 거대하고 지루한 퍼즐 맞추기에 써왔습니다. 이제 모두에게 범용 퍼즐 해결사가 생겼습니다.

‘시시한’ 표적들이 위험해지는 이유

에이전트는 표적을 가리지 않습니다. Chrome이나 iOS는 인력과 자원이 풍부하고 자동 업데이트도 됩니다. 하지만 북미 전역의 지방 병원, 지역 은행, 라우터, 프린터는 다릅니다. 이 장비들은 패치 한 번 하려면 누군가 직접 차를 몰고 가서 물리적 버튼을 눌러야 합니다.

지금까지 이 표적들이 버틸 수 있었던 이유는 단순합니다. Chrome 드라이브 바이 익스플로잇(drive-by exploit; 웹페이지 방문만으로 PC를 장악하는 최고난도 공격 코드)으로 벌 수 있는 것에 비하면 보상이 작아서, 최상급 연구자들이 굳이 파고들지 않았습니다. 그 계산이 에이전트 앞에서는 성립하지 않습니다. 에이전트는 수백 개의 인스턴스로 밤새 쉬지 않고 모든 표적을 동시에 겨냥할 수 있습니다.

Ptacek이 이 전망을 베테랑 연구자들과 공유했을 때, 방향에 이의를 제기한 사람은 없었습니다. 인간 연구자가 가장 높은 수준의 새로운 발견에서 살아남을 여지는 있습니다. 하지만 대부분의 익스플로잇(exploit) 개발—끈기, 패턴 인식, 방대한 문헌 이해가 필요한 작업들—은 이미 에이전트의 영역으로 넘어가고 있습니다.

원문에는 메모리 안전 소프트웨어의 미래, 클로즈드 소스 코드의 취약성, AI 보안 규제가 왜 역효과를 낼 수 있는지에 대한 분석도 담겨 있습니다.

참고자료:

• Vulnerability Research Is Cooked (Simon Willison 소개) – Simon Willison
• Claude Opus 4.6 Zero-Days – Anthropic Red Team
• Security Cryptography Whatever – AI Bug Finding