레드햇, AI 시대에도 책임 있는 취약점 공개 원칙 지켜야 한다고 강조

[테크수다 기자 도안구 eyeball@techsuda.com] 레드햇(Red Hat)이 인공지능(AI) 기반 취약점 탐색이 급증하는 환경에서도 책임 있는 보안 엠바고와 조율된 취약점 공개 원칙을 유지해야 한다고 강조했다. 레드햇은 AI로 취약점 발견 속도가 빨라져도 기계 속도가 인간 신뢰를 대체할 수 없으며, 신뢰가 책임 있는 취약점 공개 과정 핵심이라고 2026년 11월 3일 밝혔다. 엠바고가 깨지거나 정보가 유출될 때 비용은 결국 대응에 나서는 사람이 떠안는다는 지적이다. 이번 자료는 보도자료가 아니라 레드햇이 보낸 참고자료다.

주요 내용:

• 핵심 주장: AI 기반 취약점 탐색 급증 속에서도 조율된 취약점 공개(coordinated vulnerability disclosure)와 보안 엠바고 유지 필요
• 엠바고 의미: 정보를 무기한 비공개로 두는 조치가 아니라 방어자가 대응을 준비할 수 있도록 정해 둔 짧은 기간, 이른바 전술적 선행 시간
• 대응 방향: 위험 수준에 맞춘 조율, 업스트림 커뮤니티 협력, 업스트림 부담을 늘리지 않는 지원

새로운 도구는 개발팀이 평가하고 해결하는 속도보다 빠르게 잠재적 결함을 찾아내고 있다. AI 기반 연구로 발견되는 잠재적 취약점 규모는 보안 담당자 역량에 부담을 주는 동시에 공격자 활동을 용이하게 만든다. 레드햇은 2026년 4월 미토스 프리뷰(Mythos Preview) 공개 이후 이어지는 상황을 취약점 대재앙(Vulnpocalypse)이라고 표현해 왔다. 결함 발견이 첫 단계에 불과하다는 점이 레드햇 설명 핵심이다. 전문가가 발견된 취약점 유효성을 검증하고, 실제 영향을 평가하고, 신뢰할 수 있는 수정 사항을 만들고, 운영자가 효과적으로 대응할 수 있도록 안내해야 한다는 것이다.

오픈소스 보안은 문제를 제보하는 연구자, 코드를 잘 아는 유지 관리자, 영향받는 당사자를 연결하는 조율자, 운영 중인 시스템을 보호하는 보안 담당자 간 협력에 달려 있다. 조율된 취약점 공개 절차는 불필요한 혼란을 최소화하면서 모두가 동일한 문제에 대응할 수 있도록 지원한다. 이 과정에서 각 참여자는 서로 다른 정보와 지원을 필요로 한다. 취약점 발견자는 신속한 응답과 정직한 평가, 적절한 기여 인정을 기대하고, 유지 관리자는 문제를 재현하고 수정 사항을 개발하며 회귀 테스트를 진행할 정보와 시간이 필요하다. 조율자는 참여자가 합의된 기밀 유지와 공개 계획을 준수하기를 기대하며, 다운스트림 공급업체와 사용자에게는 취약점이 공개될 때 명확한 정보와 실질적인 위험 완화 조치가 제공돼야 한다.

엠바고 붕괴 비용은 사람이 부담한다는 점이 레드햇이 가장 강조한 대목이다. 취약점 공개 계획이 제대로 지켜지지 않으면 준비할 기회가 없던 담당자에게 업무가 넘어간다. 쏟아지는 제보를 처리해야 하는 유지 관리자, 안전한 업데이트를 준비하는 배포 업체, 영향을 받은 모든 시스템을 찾아야 하는 당직 엔지니어가 대표적이다. 이들은 한밤중 긴급 호출을 받거나 주말 일정을 취소하고, 촉박한 시간 안에 시스템 변경 작업을 수행해야 한다. 로그4셸(Log4Shell) 사태는 널리 사용되는 의존성이 얼마나 빠르게 생태계 전반 보안 위기로 확산될 수 있는지 보여줬다.

레드햇은 AI가 취약점 우선순위 분류와 패치 검토에 도움을 줄 수 있지만 결과를 판단하는 것은 여전히 사람 몫이라고 강조했다. 위험 수준에 따라 대응 방식도 달라져야 한다. 심각도가 낮은 취약점 제보는 공개적으로 논의할 수 있지만, 실제 악용 가능성이 있는 심각한 취약점은 수정 사항을 준비하는 동안 제한적으로만 공유해야 한다는 설명이다.

레드햇 책임 있는 취약점 공개, 이런 점이 궁금하다

Q. 조율된 취약점 공개는 무엇인가?

A. 취약점 발견자, 업스트림·다운스트림 당사자가 완화 조치와 공개 일정, 공개 가능 정보 범위에 합의해 진행하는 절차다. 모든 제보를 비공개로 유지하겠다는 약속이 아니라 상황에 맞춰 대응하는 절차다.

Q. 보안 엠바고는 정보를 숨기려는 조치인가?

A. 아니다. 레드햇 설명에 따르면 엠바고는 정보를 무기한 비공개로 유지하려는 조치가 아니라 보안 대응을 준비할 수 있도록 정해 둔 짧은 기간이다. 합의된 날짜보다 먼저 악용 방법이 공개되면 준비 기간이 사라지고 신뢰도 훼손된다.

Q. AI가 취약점을 빨리 찾으면 보안은 더 좋아지는 것 아닌가?

A. 발견 속도만으로는 부족하다. AI가 찾은 잠재적 취약점 중에는 이미 알려진 문제를 반복하거나 실제 발생 가능성이 낮은 조건을 전제로 한 경우도 있다. 검증·영향 평가·수정·배포 조율까지 사람 판단과 협력이 필요하다는 것이 레드햇 주장이다.

[테크수다 기자 도안구 eyeball@techsuda.com]