본 포스팅은 Yuri Kramarz가 작성한 Security in the Post-Mythos Era 포스팅을 번역한 글입니다.
소홀히 했던 기본 원칙만이 유일한 해결책인 이유
2023년, 저는 동료와 함께 규모에 상관없이 모든 기업을 위한 사이버 보안 가이드를 작성했습니다. 그다지 주목받는 작업은 아니었습니다. 다단계 인증(MFA)이나 네트워크 세분화에 관한 또 다른 백서를 원하는 사람은 아무도 없었습니다. 업계는 이미 이런 이야기들을 수없이 들어왔습니다. 기기를 강화하고, 네트워크를 세분화하고, 엔드포인트 탐지 및 대응(EDR)을 구축하고, 로그를 중앙 집중화하고, 백업을 테스트하고, 설계를 검증하라는 조언들 말이죠. 이 모든 것은 혁신적인 아이디어가 아닙니다. 고객 회의에서는 정중하게 고개를 끄덕여 주지만, 예산 승인 단계와 실제 구현 단계 사이 어딘가에서 조용히 무시되어 버리는 그런 권고 사항들입니다.
그럼에도 우리는 가이드를 작성했습니다. 우리가 새로운 내용을 제시한다고 생각해서가 아니라, 수년간의 사고 대응 업무를 거치며 침해를 당한 조직들과 만나면 매번 같은 회의실에 들어서고, 같은 취약점을 목격하며, 똑같은 대화를 반복해 왔기 때문입니다. 공격 경로는 변했고 도구는 진화했지만, 조직이 피해를 입는 이유는 거의 항상 같았습니다. 바로 기본이 제대로 갖춰져 있지 않았기 때문입니다. 이 백서에서 우리는 전략적 차원에서 솔직하게 답변할 때 조직 방어 체계의 실제 상태를 드러낼 수 있는 질문들을 제시했습니다. 엔드포인트, 네트워크, 클라우드 서비스, 물리적 보안, 인력 구성, 로깅 등을 다루었습니다. 이 가이드는 500명의 보안 분석가로 구성된 팀을 보유한 조직이든, 여러 역할을 동시에 수행하는 단 한 명의 IT 담당자가 있는 조직이든 모두에게 유용하도록 설계되었습니다.
핵심 논지는 패치만으로는 보안 전략이 될 수 없다는 것이었습니다. 패치가 실패할 때에도 견고하게 버텨줄 기반이 필요합니다. 왜냐하면 결국 패치는 실패하게 마련이기 때문입니다.
이러한 시나리오는 결국 2026년 4월에 현실이 되었습니다.
앤트로픽(Anthropic)은 프로젝트 글래스윙(Project Glasswing)과 ‘클로드 미토스 프리뷰(Claude Mythos Preview)’를 발표했습니다. 이는 모든 주요 운영 체제와 웹 브라우저에서 수천 건의 고위험 제로데이 취약점을 자율적으로 발견한 AI 모델입니다. 이론상의 취약점이나 잠재적 문제가 아니라, 실제로 작동하며 악용 가능한 취약점들이었습니다. 그중 하나는 세계에서 가장 안전한 운영 체제 중 하나로 꼽히는 OpenBSD에서 27년 동안 발견되지 않았던 취약점이었습니다. 취약점 발견이 더 이상 인간의 속도로 이루어지지 않을 때 일어나는 일이 바로 이것입니다.
2023년에 우리가 작성한 모든 내용—모든 권고 사항, 우리가 제기한 모든 질문—이 이제 훨씬 더 시급해졌다는 사실이 문득 깨달아졌습니다. 속도가 전통적인 위험 삼각형의 새로운 요소가 되었기 때문입니다. 시스코는 미토스 프리뷰와 협업한 후 Shields Up 지침을 통해 이 주장의 전략적 버전을 제시했습니다. 다음은 그에 대한 운영적 보완 자료입니다.
새로운 계산법
미토스와 기타 최첨단 대규모 언어 모델(LLM)이 등장하기 전, 취약점 대응 주기는 대부분의 보안 팀이 익힌 패턴을 따라갔습니다. 연구원이 취약점을 발견하면, 이를 악용하는 악성코드가 개발되기까지 몇 주 또는 몇 달이 걸렸습니다. 공급업체가 패치를 출시한 후, 조직은 자체 일정에 따라 이를 배포했습니다. 시스템에는 여유가 있었기에, 조직은 우선순위를 정하고 테스트하며 느리긴 해도 여전히 버틸 수 있는 시간을 확보할 수 있었습니다.
AI와 LLM의 등장 이후, 해당 대응 주기의 첫 두 단계는 거의 동시에 이루어지게 되었습니다. AI가 취약점을 발견하고 악성코드를 작성하는 데는 몇 주가 아닌 단 몇 분밖에 걸리지 않습니다. 하지만 마지막 두 단계인 패치 출시와 패치 배포는 여전히 인간의 속도로 운영되는 인력 중심 프로세스로 남아 있습니다. 발견/악용 단계와 패치/배포 단계 사이의 간격은 관리 가능한 지연에서 구조적인 격차로 확대되었습니다.
수치 자료를 통해 이를 구체적으로 확인할 수 있습니다. FIRST 2026 취약점 전망에 따르면, 올해 새로운 CVE의 중앙값은 약 59,000건으로 예상되며, 90% 신뢰 구간은 최대 118,000건에 달합니다. 2025년에는 48,185건의 CVE가 공개되었는데, 이는 전년 대비 21% 증가한 수치로, 매일 약 131건의 새로운 취약점이 공개된 셈입니다. 미국 국립표준기술연구소(NIST)가 인정했듯이, 2020년부터 2025년 사이 CVE 제출 건수가 263% 증가했습니다. NIST는 2026년 4월부터 CISA의 ‘알려진 악용 취약점(KEV)’ 카탈로그에 등재된 CVE, 연방 정부가 사용하는 소프트웨어, 그리고 행정명령 14028호에 따른 중요 소프트웨어에 대한 정보 보강만 우선적으로 처리하겠다고 발표했습니다. 그 외의 모든 항목은 대기열의 맨 뒤로 밀려나게 됩니다.
고객 브리핑에서 이 데이터를 설명할 때, 저는 세 가지 요소를 중심으로 설명했습니다. 바로 발견에서 악용까지 걸리는 시간, 수천 건에 달하는 제로데이 취약점 발견 사례, 그리고 AI가 공격자와 방어자 모두를 동등하게 가속화한다는 점입니다. 클라우드 보안 연합(Cloud Security Alliance)은 2026년 4월 분석 보고서에서 이 점을 명확히 밝혔습니다. AI 규모로 취약점을 발견하는 능력은 본질적으로 방어 능력이 아닙니다. 이는 양날의 검과 같은 능력으로, 그 효과는 전적으로 누가 접근 권한을 가지고 있으며 어떤 제약 조건이 사용을 규제하느냐에 달려 있습니다. 최첨단 모델들이 자신의 사용 방식에 대해 책임을 지고 있다는 점은 다행이지만, 감독이 덜 이루어지는 오픈소스 모델도 많이 존재합니다.
취약점 관리가 실패할 때, 누구에게 의지할 수 있을까요?
제가 ‘최첨단 모델 이후의 보안’에 대해 생각하는 방식, 그리고 보안 리더들에게 제시해 온 방식은 3단계 대체 모델을 따릅니다.
첫 번째 기둥은 취약점 관리입니다. 스캔, 우선순위 지정, 패치, 반복. 지난 20년 동안 대부분의 조직이 보안 예산을 이 분야에 집중해 왔습니다. 패치 적용 속도는 AI 기반의 취약점 발견 속도를 따라잡을 수 없습니다. 2026년에는 59,000개 이상의 CVE가 발생할 것으로 예상되며 그 수는 계속 증가하고 있어, 조직이 이를 선별하고 테스트하며(실제 운영 환경에) 배포할 수 있는 역량을 초과합니다. 모든 취약점에 대해 제로데이에 패치가 제공되는 것도 아니며, 일부는 “운영 위험”으로 분류되거나 시스템이나 하드웨어를 재설계하는 데 수년이 걸릴 수도 있습니다. 취약점 관리가 사라진 것은 아니지만, 더 이상 주요 방어선이 아닙니다. 이제는 수많은 요소 중 하나일 뿐입니다. 바로 이 지점에서 Cisco IQ가 필수적입니다. 이 솔루션의 디지털 인터페이스는 완벽한 자산 가시성, 보안 강화 인사이트, 위험 평가를 제공하여, 증가하는 CVE 양에 직면하여 취약점을 선제적으로 식별하고 시스템을 강화할 수 있게 해줍니다. 가능한 부분을 자동화하는 것이 회복탄력성 가속화의 핵심이 될 것입니다.
패치 적용에 실패할 경우, 두 번째 방어 수단은 EDR 시대에는 잊혀진 듯 보이는 “구식” 강화 조치입니다. 바로 이 부분에서 2023년 백서가 지침이 됩니다:
- 모든 곳, 특히 VPN 및 관리자 액세스 시 다단계 인증(MFA)을 적용해야 합니다. 자격 증명 도용은 공격자가 초기 접근을 확보하는 가장 흔한 방법이며, MFA는 이를 가장 확실하게 차단하는 통제 수단이기 때문입니다.
- CIS 벤치마크와 골든 이미지를 통한 장치 강화가 필요합니다. 불필요한 서비스를 제거하고 Credential Guard를 활성화한 강화된 시스템은 기본 설치 환경보다 악용 가능한 경로가 현저히 적기 때문입니다.
- 단일 제로데이 취약점이 전체 인프라로 연쇄적으로 확산되어서는 안 되므로, 피해 범위를 제한하기 위한 네트워크 세분화가 필요합니다.
우리는 적절한 보안 로깅 기능을 통합한 골든 이미지를 구축하고, 6~12개월마다 이를 갱신하며, 최신 강화 표준을 적용할 것을 권장했습니다. 2023년 백서는 대부분의 조직이 여전히 확신 있게 답할 수 없는 질문들을 제기합니다. 시스템 강화를 위한 잘 알려진 보안 표준이 모든 기기에서 일관되게 준수되고 있는가? 핵심 시스템의 골든 이미지에 대한 취약점 검토는 마지막으로 언제 이루어졌는가? 골든 이미지가 보안 검토의 일부로 포함되어 있는가?
세 번째 기반은 탐지 및 대응입니다. 강화된 시스템은 악용을 완전히 막지는 못하지만, 악용을 더 어렵게 만들고, 속도를 늦추며, 탐지 신호를 더 많이 발생시키고, 시스템이 생존할 수 있도록 합니다. 탐지 및 대응은 방어망을 뚫고 들어온 악용을 포착하는 과정이며, AI 기반 악용이 만연한 세상에서는 일부 악용이 방어망을 뚫고 들어올 수밖에 없습니다. 이는 불가피한 사실이며, 이를 전제로 삼아야 합니다.
이것은 계층 전반에 걸친 가시성을 확보하기 위해 EDR, NDR, XDR이 필요함을 의미합니다. 제로데이 공격이 시그니처 업데이트 속도를 앞지르는 상황에서는 행동 기반 탐지가 매우 중요합니다. AI를 통해 발견된 취약점을 이용하는 공격자라도 여전히 코드를 실행하고, 지속성을 확보하며, 수평 이동을 수행하고, 데이터를 유출해야 합니다. 이러한 행동은 특정 취약점이 이전에 알려져 있었는지 여부와 관계없이, 올바르게 구성된 EDR이 탐지할 수 있는 행동 신호를 생성합니다. 즉, 자동화 시스템이 놓친 부분을 찾기 위해 위협 사냥을 활용할 수 있다는 뜻입니다. 또한 이는 예방이 실패할 경우를 대비해 사고 대응 역량이 필요함을 의미합니다. 새로운 공격은 계속 등장할 것입니다. 문제는 침해당할지 여부가 아닙니다. 이제는 얼마나 신속하게 탐지, 격리, 제거, 복구를 수행할 수 있는지가 관건입니다.
검증은 선택 사항이 아닙니다
적합한 제품을 도입하는 것은 필수적이지만, 그것만으로는 충분하지 않습니다. 제품이 어떻게 작동하는지 파악해야 하는데, 바로 이 부분에서 대부분의 조직은 큰 맹점을 가지고 있습니다.
모든 보안 책임자가 지금 당장 스스로에게 물어야 할 질문은 “내 보안 통제 수단이 실제로 작동하는가? 서류상만이 아니라 실제 공격 상황에서?”입니다. 침투 테스트는 이 질문에 대한 답을 제공합니다. CIS 벤치마크에 따라 구성 설정을 평가하고 미흡한 부분을 강화하는 것도 마찬가지입니다. 위협 모델링은 일반적인 위험 매트릭스가 아닌, 특정 아키텍처에 대해 실제 공격자가 사용할 공격 경로를 매핑함으로써 한 단계 더 나아갑니다.
브레이크아웃 평가에는 특별한 주의를 기울여야 합니다. 이는 네트워크 세그먼트 간의 경계를 테스트합니다. 공격자가 침해된 엔드포인트에서 핵심 인프라로 이동할 수 있을까요? IT에서 OT로? 한 사업부에서 다른 사업부로? 제로데이 공격만으로도 네트워크 세그먼트에 대한 초기 접근 권한을 얻을 수 있는 AI 시대 이후의 세상에서, 이러한 경계의 무결성은 네트워크의 가장 중요한 아키텍처적 속성이라고 할 수 있습니다. 실제 공격자가 발견하기 전에 경계가 뚫렸음을 파악하는 것은, 통제 가능한 사고와 조직의 존립을 위협하는 위기 사이의 차이를 결정짓습니다.
다음은 대응 측면인데, 바로 이 부분에서 조직이 가지고 있다고 생각하는 것과 실제로 가지고 있는 것 사이의 격차가 최대로 벌어집니다. 한 번도 테스트해 본 적 없는 IR 플레이북은 플레이북이 아닙니다. 그저 희망일 뿐입니다. 퍼플 팀 훈련은 그러한 희망을 근육 기억으로 전환시켜 주며, 실제 사고가 발생했을 때 팀이 얼어붙을지 아니면 행동할지 결정하는 바로 그 능력입니다. 사전 위협 탐지는 자동화 시스템이 놓친 부분을 포착합니다. 모든 것을 테스트해 봤음에도 여전히 부족하다면, 긴급 사고 대응은 침해된 상태에서 복구된 상태로 이끄는 핵심 역량입니다.
전체적인 그림은 하나의 순환 구조입니다. 제품과 시스템 강화로 보안 문제를 예방하고, 테스트와 평가를 통해 검증하며, 위협 탐지와 사고 대응으로 대처해야 합니다. 이 모든 과정은 위협 인텔리전스에 기반을 두어야 하며, 규정 준수 스프레드시트에서 체크리스트를 확인하는 단편적인 솔루션이 아니라 하나의 시스템으로서 유기적으로 작동해야 합니다.
변하지 않은 것
AI는 시스템 악용에 지치지 않으므로, 위험은 과거보다 훨씬 더 빠르게 현실화될 것입니다. 이 때문에 이제 우리는 위험 계산식에 ‘속도’를 추가합니다. 단순히 위험 = 발생 가능성 × 영향도가 아니라 위험 = 발생 가능성 × 영향도 × 속도가 됩니다. AI는 사이버 보안의 원칙을 바꾸지 않습니다. 다단계 인증(MFA)은 여전히 자격 증명 도용을 차단하고, 세그멘테이션은 여전히 악용이 환경 전체로 확산되는 것을 방지하며, EDR은 여전히 악용 행위, 메모리 남용, 메모리 세그먼트에 대한 “쓰기” 시도를 탐지합니다. 중앙 집중식 로깅은 여전히 탐지 및 조사를 위한 이벤트를 기록하며, 검증된 백업은 여전히 복구를 가능하게 합니다.
이러한 사실들은 LLM/AI 취약점이 발견되기 전에도 사실이었으며, LLM/AI 시대 이후에도 사실이며, 현재의 스택을 대체할 어떤 기술이 등장하더라도 여전히 사실로 남을 것입니다. 이는 이러한 조치들이 취약점이 얼마나 빨리 발견되는지와 무관한 보안 스택의 계층에서 작동하기 때문입니다. 공격자가 알려진 CVE를 사용했든 새로운 제로데이 취약점을 사용했든, 악성코드가 인간 연구원이 3주 동안 작성했든 AI가 3분 만에 작성했든 상관없이 이 조치들은 효과적으로 작동합니다.
이것이 바로 2023년 백서를 바탕으로 도출된 구조적 통찰입니다. 아무도 LLM/AI를 통한 취약점 발견의 폭발적인 증가를 예측하지는 못했지만, 우리는 사고 대응 업무를 통해 침해 사고를 견뎌낸 조직이 패치 주기가 가장 빠른 조직이 아니라는 사실을 수없이 목격해 왔습니다. 그들은 침해 사고가 발생하기 전에 이미 보안 기반을 탄탄히 다져 놓은 조직들이었습니다. 현재 진행 중인 AI의 가속화는 예산 주기, 이사회 승인, 전략적 계획을 기다리지 않습니다. 이는 준비를 한 조직에게는 보상을, 지체한 조직에게는 대가를 치르게 합니다.
Authors