2026-11-05 · 출처：Computerworld
2025년에만 약 48,000건의 CVE가 쏟아졌고, AI는 공격자와 방어자 모두에게 무기를 쥐여주고 있다. 보안팀 앞에는 '전부 패치' 플레이북이 더 이상 흡수할 수 없는 역량 위기가 놓였다.
5일. 취약점이 공개된 뒤 악용되지 않은 채 버티는 평균 시간이 이제 대략 이 정도다. 공격자의 대응 속도가 무너진 결과가, 여전히 월 단위 주기로 굴러가는 많은 기업의 패치 사이클 위에 그대로 떨어지고 있다.
규모의 문제가 속도의 문제를 더 악화시킨다. 2025년에만 약 48,000건의 CVE가 발표됐다. 한때 한 달의 리듬을 만들던 패치 화요일, 즉 업데이트가 도착하고 팀이 테스트하고 변경 관리 위원회가 승인한 뒤 이후 몇 주에 걸쳐 배포가 진행되던 그 과정은 더 이상 이 물량을 소화하지 못한다. 그 절차가 고통스럽지 않았던 적은 없지만, 적어도 예측 가능했다.
그 예측 가능성은 사라졌다.
실무자들에게는 그 자리를 대신한 것을 부르는 이름이 있다. '패치 종말(Patch Apocalypse)'이다. 표현은 과장처럼 들리지만 그 밑바닥의 운영 현실은 구체적이다. 용량, 우선순위, 프로세스 문제가 동시에 상륙한다. 공격자는 더 이상 조직이 테스트 사이클을 끝마치기를 기다려주지 않는다.
AI는 이 팽팽한 구도의 양쪽 모두에 기름을 붓는 존재다. 방어 측 연구자들은 이제 AI 지원 도구로 코드를 분석하고 애플리케이션을 퍼징(fuzzing)하며, 수동 검토로는 결코 미치지 못할 속도로 결함을 찾아낸다. 단기적으로 그 의미는 더 많은 공개가 더 빠르게, 더 많은 소프트웨어를 가로질러 도착한다는 것이다. 그러나 똑같은 기술이 공격자의 손에도 들어 있다. 공격자는 AI로 패치를 분석하고 수정 사항을 역설계해 업데이트가 배포되자마자 실제로 작동하는 익스플로잇을 만들어낼 수 있다. 타임라인은 양쪽 끝에서 동시에 압축된다.
처방은 산수에서 나온다. 모든 것을 패치하는 것은 더 이상 답이 아니며, 촉구되는 전환은 사후 대응형 패치에서 위험 기반 자동화로의 이동이다. 기업 환경 곳곳에서 벌어지는 패턴은 냉정하다. 공개부터 악용까지의 창은 계속 좁아지고 있으며, 화요일에 공개된 취약점은 다음 주 전통적 변경 작업 시간대가 열리기도 전에 이미 무기화돼 있을 수 있다.
태그: Patch Tuesday · CVE · AI-Assisted Vulnerability Discovery · Exploit Development · Risk-Based Automation
萬安算交所 AIXX · AIXX · 검증된 컴퓨트 거래소 · 현물 홀 입장