일본 IBM, AI 시대 취약점 관리 모델 제시

일본 IBM의 고노 데쓰야는 ‘인프레스 AI 데이즈 2026’에서 프론티어 AI의 발전으로 취약점 발견부터 악용까지 걸리는 시간이 짧아지고 있다며 개발 단계부터 운영 환경까지 취약점을 관리해야 한다고 설명했습니다. 인프레스가 주최한 행사는 2026년 9월 15~16일 열렸습니다. 고노는 취약점 건수 증가뿐 아니라 발견된 취약점이 곧바로 악용되는 점도 문제라고 지적했습니다.

금융청은 2026년 5월 프론티어 AI가 초래하는 위협을 고려해 금융기관에 단기 대응을 요구했습니다. 발견에서 공격까지 속도와 규모가 커지고 있다며, 대량의 취약점과 패치가 발생하는 상황을 전제로 경영진 주도로 자산 관리, 취약점 관리, 감시 체계를 서둘러 강화하라고 요청했습니다. 새로 등록되는 CVE(공통 취약점 식별자)는 2016년 약 6,400건에서 늘어 고노의 전망으로는 2026년 약 5만 9,000건에 이르며, 700% 이상 증가합니다. 증가세는 프론티어 AI 등장 전부터 이어졌고, AI 기술은 취약점 발견도 앞당기고 있습니다.

고노가 제시한 취약점 공개부터 악용까지의 시간(TTE) 전망에서, 이 기간은 2021년 무렵까지 ‘1년’이었지만 2025년 ‘1개월’, 2026년 ‘1주일’에서 ‘1일’, 2027년 ‘1시간’, 2028년 ‘1분’으로 줄어듭니다. 고노는 현재도 평균 29분 만에 악용된다는 수치가 있다고 말했습니다. 모든 취약점에 대응하는 것은 현실적이지 않으므로 사업 영향과 악용 위험을 기준으로 우선순위를 정해 신속히 대응해야 한다고 밝혔습니다.

고노가 제시한 관리 모델은 운영 환경의 위험을 지속적으로 감시하고 패치 등을 적용하는 ‘시프트 라이트’와 개발 단계에서 위험을 줄이는 ‘시프트 레프트’를 함께 운용합니다. AI 코드 생성이 확산하는 가운데 검토가 따라가지 못해 취약점이 섞일 위험이 커지고 있기 때문입니다. 고노는 현장에서 스프레드시트로 정보를 수작업 정리하는 데 시간이 들고, 우선순위 판단이 어렵고, 시스템마다 나뉜 대응 상황을 조직 전체가 실시간으로 파악하기 어렵다고 설명했습니다.

일본 IBM의 제품군 ‘IBM Concert’는 소프트웨어 개발 생명주기(SDLC) 전체를 보호합니다. 핵심 제품 ‘IBM Concert Protect’는 스캔 도구가 찾아낸 취약점 정보를 모아 영향 범위를 파악하고 위험을 계산해 우선순위를 매긴 뒤 수정을 지원합니다. 운영 단계인 시프트 라이트에서는 Palo Alto Networks의 ‘Prisma Cloud’, 오픈소스 취약점 스캐너 ‘Trivy’, 취약점 관리 서비스 ‘Qualys’, AWS의 ‘Amazon Inspector’ 등 기존 도구를 정보원으로 활용합니다. 가상 머신, 컨테이너 이미지, 소스 코드의 탐지 결과에 운영 환경인지 검증 환경인지, 외부에 공개됐는지, 다른 시스템과 연계됐는지 등의 정보를 결합해 우선순위를 판단합니다.

일본 IBM의 고노 데쓰야는 ‘인프레스 AI 데이즈 2026’에서 프론티어 AI의 발전으로 취약점 발견부터 악용까지 걸리는 시간이 짧아지고 있다며 개발 단계부터 운영 환경까지 취약점을 관리해야 한다고 설명했습니다. 인프레스가 주최한 행사는 2026년 9월 15~16일 열렸습니다. 고노는 취약점 건수 증가뿐 아니라 발견된 취약점이 곧바로 악용되는 점도 문제라고 지적했습니다.

금융청은 2026년 5월 프론티어 AI가 초래하는 위협을 고려해 금융기관에 단기 대응을 요구했습니다. 발견에서 공격까지 속도와 규모가 커지고 있다며, 대량의 취약점과 패치가 발생하는 상황을 전제로 경영진 주도로 자산 관리, 취약점 관리, 감시 체계를 서둘러 강화하라고 요청했습니다. 새로 등록되는 CVE(공통 취약점 식별자)는 2016년 약 6,400건에서 늘어 고노의 전망으로는 2026년 약 5만 9,000건에 이르며, 700% 이상 증가합니다. 증가세는 프론티어 AI 등장 전부터 이어졌고, AI 기술은 취약점 발견도 앞당기고 있습니다.

고노가 제시한 취약점 공개부터 악용까지의 시간(TTE) 전망에서, 이 기간은 2021년 무렵까지 ‘1년’이었지만 2025년 ‘1개월’, 2026년 ‘1주일’에서 ‘1일’, 2027년 ‘1시간’, 2028년 ‘1분’으로 줄어듭니다. 고노는 현재도 평균 29분 만에 악용된다는 수치가 있다고 말했습니다. 모든 취약점에 대응하는 것은 현실적이지 않으므로 사업 영향과 악용 위험을 기준으로 우선순위를 정해 신속히 대응해야 한다고 밝혔습니다.

고노가 제시한 관리 모델은 운영 환경의 위험을 지속적으로 감시하고 패치 등을 적용하는 ‘시프트 라이트’와 개발 단계에서 위험을 줄이는 ‘시프트 레프트’를 함께 운용합니다. AI 코드 생성이 확산하는 가운데 검토가 따라가지 못해 취약점이 섞일 위험이 커지고 있기 때문입니다. 고노는 현장에서 스프레드시트로 정보를 수작업 정리하는 데 시간이 들고, 우선순위 판단이 어렵고, 시스템마다 나뉜 대응 상황을 조직 전체가 실시간으로 파악하기 어렵다고 설명했습니다.

일본 IBM의 제품군 ‘IBM Concert’는 소프트웨어 개발 생명주기(SDLC) 전체를 보호합니다. 핵심 제품 ‘IBM Concert Protect’는 스캔 도구가 찾아낸 취약점 정보를 모아 영향 범위를 파악하고 위험을 계산해 우선순위를 매긴 뒤 수정을 지원합니다. 운영 단계인 시프트 라이트에서는 Palo Alto Networks의 ‘Prisma Cloud’, 오픈소스 취약점 스캐너 ‘Trivy’, 취약점 관리 서비스 ‘Qualys’, AWS의 ‘Amazon Inspector’ 등 기존 도구를 정보원으로 활용합니다. 가상 머신, 컨테이너 이미지, 소스 코드의 탐지 결과에 운영 환경인지 검증 환경인지, 외부에 공개됐는지, 다른 시스템과 연계됐는지 등의 정보를 결합해 우선순위를 판단합니다.