AI 활용과 선제적 조치를 통한 효과적인 취약점 알림 관리

최근 저는 저희 CTO인 Matias Madou와 Mend.io의 Sharon Kochevsky가 취약점 알림 관리 주도하기를 주제로 진행한 웨비나를 주최했습니다. 이 세션에서 두 사람은 보안 취약점 알림을 처리할 때 발생하는 문제와 해결책을 심도 있게 다루었습니다. 웨비나를 놓치신 분들을 위해 대화의 핵심 내용을 정리해 드립니다. 물론, 전체 내용은 지금 온디맨드(다시보기)를 통해 확인하실 수 있습니다.

보안에 미치는 AI의 영향

Matias는 AI를 활용한 안전한 소프트웨어 개발의 현주소를 설명하기 위해 자율주행 자동차 비유를 들었습니다. 자율주행 자동차가 기술적으로는 스스로 주행할 수 있지만, 도로 위에서는 여전히 문제에 직면합니다. 예를 들어, 그는 자율주행차가 이전에 경험하지 못한 도로 상황을 마주했을 때 갑자기 급제동하는 사례를 언급했습니다. 문제는 언제든 발생할 수 있으며, 이를 해결하는 것은 결국 인간 기술자의 몫입니다. 마찬가지로 개발자가 AI를 맹목적으로 신뢰하면 코드 오류나 취약점이 발생할 수 있습니다.

Matias는 AI가 더 나은 결과물을 내놓으려면 AI 모델을 학습시킬 수 있는 규칙적이고 양질의 코드 예제가 다수 필요하다고 강조했습니다. 현재 AI는 일반적인 프레임워크에서는 잘 작동하지만, 수백만 줄의 코드로 운영되는 실제 애플리케이션 환경에서는 한계를 보입니다.

그는 숙련된 개발자는 생성형 AI를 활용해 코딩 속도를 높일 수 있지만, 훈련되지 않은 개발자는 결함이 있는 코드를 빠르게 복사하고 붙여넣어 오히려 위협이 될 수 있다고 덧붙였습니다.

선제적 대응으로의 전환

토론의 주요 주제 중 하나는 선제적 대응으로의 전환이었습니다. Sharon Kochevsky는 기업과 애플리케이션 보안(AppSec) 프로그램이 단순히 보안 문제를 추적하는 데 그치지 않고, 보안 보고 중심의 사후 대응에서 벗어나 실제 코드 수정이 이루어지는 선제적 접근 방식을 취해야 한다고 주장합니다. Matias와 마찬가지로 그는 행정적인 절차를 넘어 실질적인 성과에 집중해야 한다고 강조합니다. 또한 패널들은 실시간 대시보드와 이슈 추적 기능이 통합된 보안 제품을 활용하여 보고서를 작성하는 핵심 영역에 대해서도 논의했습니다.

격차 해소

Sharon과 Matias는 해결해야 할 중요한 문제로 개발자와 보안 관리자 사이의 단절을 꼽았습니다. 현재 많은 조직과 기업이 이 격차를 해소하기 위해 '보안 챔피언'을 도입하고 있습니다. 이들은 엔지니어링 팀 내부에 배치된 보안 전문가로서 선제적인 보안 조치를 장려하는 역할을 합니다.

물론 이번 논의는 빙산의 일각에 불과하며, 대화는 웨비나를 넘어 계속되어야 합니다. 끊임없이 변화하는 업계에서 지속적인 논의와 참여는 매우 중요합니다. 더 자세한 내용을 알고 싶거나 세션을 다시 시청하고 싶으시다면 온디맨드로 확인해 주세요.

‍