지니온

Day Minus Seven: 프런티어 AI 시대의 취약점 대응 — ROCon Connect Seoul 2026 정리

지니온 기술팀출처: Qualys ROCon Connect Seoul 2026 키노트 (Sumedh Thakar, Himanshu Kathpal)

공격은 패치가 나오기 7일 전에 시작됩니다. Qualys ROCon Connect Seoul 2026 키노트에서 나온 운영 모델 — 초우선순위화, AI 속도 탐지, 제로데이 조치 — 를 정리합니다.

무엇이 바뀌었나

2026년 프런티어 AI 모델이 등장하면서 취약점 대응의 전제가 달라졌습니다. 이 모델들은 전문가가 놓친 취약점을 소스 코드에서 찾아내고, 몇 분 만에 익스플로잇을 만들고, 여러 취약점을 엮어 공격 경로를 찾습니다.

숫자로 보면 이렇습니다.

지표값
2026년 7월 Microsoft 패치 화요일 CVE 수622건 — 역대 최다, 이전 대비 6배
2025년 공개된 CVE 중 실제 무기화된 비율48,177건 중 0.74%
취약점 완전 해소까지 걸리는 시간 중앙값30일 이상
악용까지 걸리는 시간-7일 (패치 공개 전 악용)
최근 5년 보안 예산 증가율4~6%
최근 4년 취약점 수 증가율650%

공격자의 주기는 시간 단위로, 방어자의 주기는 여전히 주에서 달 단위입니다. 스캔 주기, 수동 분류, 승인, 분기별 사이클 때문입니다. 두 선 사이의 간격이 곧 노출 기간입니다. 발표에서는 이 상황을 "Day Minus Seven" 이라고 불렀습니다.

사람을 더 뽑는 것은 답이 아니다

키노트에서 가장 명확했던 메시지는 이것이었습니다.

자율적인 공격에는 자율적인 조치로 맞서야 한다.

수동 조치는 약 67일에서 한계에 부딪혀 있고, 인력을 늘려도 이 속도 차이는 좁혀지지 않습니다. 발표에서 제시한 운영 모델은 세 단계입니다.

1. 초(超)우선순위화

위협 수준, 비즈니스 영향도, 자산 중요도로 우선순위를 정하고, 기존 보안 통제를 고려해 실제로 악용 가능한지 검증합니다.

같은 CVSS 점수라도 판단이 완전히 달라집니다.

  • CVE-2013-3900 — CVSS 6.0이지만 익스플로잇 46건, 멀웨어 2종, 위협 행위자 10곳, CISA KEV 등재. Qualys 점수는 9.5로 올라갑니다.
  • CVE-2021-34458 — CVSS 9.9이지만 익스플로잇·PoC·멀웨어·위협 행위자가 모두 없습니다. Qualys 점수는 6.5로 내려갑니다.

우선순위를 매긴 노출 중에서도 보완 통제를 고려하면 실제로 악용 가능한 것은 20% 미만입니다.

2. AI 속도 탐지

새 CVE가 공개되면 공격자는 몇 시간 안에 움직이는데, 스캐너 기반 탐지는 며칠이 걸립니다. Qualys는 치명·제로데이 취약점 대응 중앙값 12시간, 주요 벤더는 6시간을 제시했습니다. 여기에 스캔 없이 권고문과 기존 자산 데이터를 대조하는 InstaScan이 더해져, 공개 후 몇 분 안에 영향받는 자산을 찾아냅니다.

3. 제로데이 취약점 조치

패치가 없는 상태에서도 위험을 없애야 합니다. 발표에서 제시한 운영 회복력의 네 가지 조건은 다음과 같습니다.

  • 패치 신뢰도 점수 — 이 패치가 안전한지 미리 안다
  • 패치 없는 조치 — 설정 변경·포트 차단으로 노출을 줄인다
  • 배포 웨이브 — 운영 영향에 따라 나눠서 적용한다
  • 롤백 — 문제가 생기면 자동으로 되돌린다

6,250만 건에서 6만 건으로

실제 고객 데이터로 보여준 사례가 인상적이었습니다. 맥락을 하나씩 더할 때마다 조치 대상과 비용이 줄어듭니다.

단계남은 항목조치 비용
전체 발견 항목6,250만 건—
위협 맥락 적용217만 건 (4%)$3.12M
비즈니스 맥락 적용30.4만 건 (1% 미만)$612K
보완 통제 검증6만 건 (0.1% 미만)$31K

마지막 단계의 검증이 조치 비용을 10분의 1로 줄였다는 점이 핵심입니다. "악용 가능하다"는 판단과 "우리 환경에서 악용 가능하다"는 판단은 다릅니다.

공격 표면 관리에서 리스크 표면 관리로

Qualys는 이 흐름을 리스크 운영 센터(ROC) 라는 조직 기능으로 제시했습니다. SOC가 위협을 다룬다면 ROC는 리스크를 다룹니다. ROC는 세 가지를 묶습니다.

  • CTEM — 지속적 위협 노출 관리
  • CRQ — 사이버 리스크 정량화
  • RemOps — 조치 운영

그리고 이를 운영하는 플랫폼으로 ETM을 "세계 최초 AI-ROC"로 소개했습니다. 각 단계를 AI 에이전트가 맡습니다. 탐지는 Agent Insta, 검증은 Agent Val, 조치는 Agent Sara가 담당합니다.

다음 리스크: AI 자체와 양자 내성 암호

발표 후반은 새로 떠오르는 리스크 두 가지를 다뤘습니다.

AI 도입 속도가 통제를 앞지르고 있습니다. 우리 환경에 어떤 AI 인프라가 있는지, 지속적으로 어떻게 평가하는지, AI 관련 위험을 어떻게 조치하는지, 규제 대응과 이사회 보고를 어떻게 하는지. 이 네 질문에 답하는 것이 AI 거버넌스의 출발점입니다.

양자 내성 암호(PQC) 는 지금 수집하고 나중에 복호화하는(Harvest Now, Decrypt Later) 공격, 공개키 기반 구조 붕괴, 디지털 서명 위조 위험을 가져옵니다. 우리 환경에 어떤 암호가 쓰이고 있는지부터 파악해야 합니다.

정리

  • 공격은 패치 전에 시작됩니다. 스캔 주기에 맞춘 대응으로는 따라갈 수 없습니다
  • 우선순위는 CVSS가 아니라 위협·비즈니스·보완 통제 맥락으로 정합니다
  • "악용 가능성"은 가정하지 말고 검증합니다
  • 조치는 패치만이 아닙니다. 완화·격리·제거까지 포함해 운영 안정성을 지키며 자동화합니다
  • 경영진이 듣고 싶은 언어는 취약점 개수가 아니라 비즈니스 손실입니다

발표에서 인용된 표현 그대로입니다. 리스크의 유일한 언어는 돈입니다.

관련 솔루션