인공지능이 보안 취약점을 찾는 시대가 왔지만, 정작 그 취약점이 실제 공격에 악용되는 비율은 극히 낮다는 조사 결과가 나왔습니다. 보안 업체 VulnCheck가 2026년 상반기를 분석한 자료에 따르면, AI가 발견을 도운 취약점 1,061건 중 실제로 공격에 활용된 사례는 14건에 불과했습니다. 비율로 따지면 1.3%로, 전체 취약점 대비 악용률과 크게 다르지 않은 수준입니다. AI가 보안 취약점을 ‘많이’ 찾아내는 것은 분명하지만, 그 발견이 곧 실질적인 위험으로 이어지지는 않는다는 뜻입니다.
AI 보안 도구의 현실: 발견은 많지만, 실전은 적다
특히 주목할 대목은 AI 보안 솔루션의 대표 사례로 꼽히는 기업의 성과입니다. Anthropic의 ‘글래스윙(Project Glasswing)’ 프로젝트는 무려 2만 3,000건이 넘는 발견을 보고했지만, 실제로 공식 발표된 취약점은 126건, 그리고 확인된 공격은 단 1건에 그쳤습니다. 이는 AI가 쏟아내는 정보의 홍수 속에서 보안 담당자들이 무엇에 집중해야 할지 혼란을 겪을 수 있음을 시사합니다. 오히려 ‘발견의 양’이 방어를 어렵게 만드는 역설이 벌어지고 있는 셈입니다.
그런데 공격 속도는 빨라지고 있습니다. 조사에 따르면 전체 취약점의 절반이 공개 후 80일 이내에 첫 악용 사례가 나타납니다. 1년 전만 해도 이 기간이 120일이었던 것과 비교하면, 공격자들이 취약점을 악용하는 데 걸리는 시간이 크게 단축된 것입니다. 전체 보고된 취약점 수가 계속 늘어나는 가운데, 한 달 안에 공격을 받은 사례도 약 200건에 달했습니다. 방어자는 더 많은 취약점을 더 빠른 속도로 처리해야 하는 이중고를 겪고 있습니다.
공격 표면의 이동: 웹사이트와 AI 제품군
공격의 대상도 특정 분야에 집중되는 모습입니다. 웹사이트 콘텐츠 관리 시스템(CMS)이 전체 공격 사례의 3분의 1을 차지하며 가장 큰 타격을 입었습니다. 이는 AI가 취약점을 찾는 것과 별개로, 실제 공격자들이 여전히 오래된 소프트웨어와 널리 쓰이는 플랫폼을 노리고 있다는 방증입니다. 또한 VulnCheck는 AI 제품 자체가 새로운 공격 표면으로 부상하고 있다고 지적했습니다. 모델 구축 도구와 에이전트 인터페이스가 대표적인 사례로 꼽히는데, 이는 기업들이 AI 시스템을 도입할 때 보안 측면에서 새로운 리스크를 감수해야 함을 의미합니다.
XPLAIN AI는 이번 조사가 보안 업계에 던지는 메시지가 분명하다고 해석합니다. ‘AI가 발견한 취약점’이라는 수치는 그 자체로 위험 신호가 아니라, 오히려 방어자의 판단을 흐리게 할 수 있는 노이즈일 가능성이 크다는 점입니다. 보안 팀이 AI 도구가 쏟아내는 수많은 경고를 모두 처리하려다 정작 중요한 신호를 놓칠 수 있고, 이는 비용과 인력 낭비로 이어질 수 있습니다. 따라서 기업은 AI 발견 건수보다 ‘실제 악용 가능성’에 초점을 맞춘 위험 평가 체계를 고민해야 할 시점입니다.
보안 산업의 판도: 기회와 리스크의 경계
이번 조사 결과는 보안 산업 전반에 걸쳐 미묘한 파급 효과를 줄 것으로 보입니다. 다음은 주요 영향 포인트입니다.
- AI 보안 도구 제공 기업들은 단순 취약점 발견 건수를 넘어, ‘실제 위협’을 선별하는 능력으로 차별화해야 합니다. 발견량보다 정확도와 우선순위 판단이 핵심 경쟁력이 될 전망입니다.
- 웹사이트 CMS 및 오래된 인프라를 운영하는 기업은 여전히 최우선 방어 대상입니다. AI가 새 취약점을 찾는 속도보다, 기존 시스템의 패치 관리가 더 시급한 과제임을 보여줍니다.
- AI 제품·에이전트를 개발하는 기업은 새로운 공격 표면으로 부상하고 있어, 자사 모델과 인터페이스 보안에 대한 투자를 늘릴 필요가 있습니다.
다만 이번 조사는 한 기관의 데이터에 기반한 만큼 해석에 주의가 필요합니다. 악용률 1.3%가 앞으로도 유지될지는 불확실하며, AI 기술의 발전 속도와 공격자들의 적응 속도에 따라 얼마든지 변할 수 있습니다. 특히 AI가 취약점을 찾는 방식이 더 정교해지면, 발견된 취약점의 질이 달라질 가능성도 배제할 수 없습니다. 따라서 이 수치를 ‘AI 보안이 실패했다’거나 ‘위험이 없다’는 식으로 단정하기보다는, 보안 전략의 우선순위를 재정비하는 계기로 삼는 것이 현명해 보입니다.
다음으로 주목해야 할 지표는 취약점 악용까지 걸리는 시간(80일)이 더 단축되는지, 그리고 AI 제품 자체를 노린 공격이 얼마나 늘어나는지입니다. 만약 악용 속도가 더 빨라지고 AI 제품 공격이 증가하는 추세가 확인된다면, 보안 시장의 수요는 ‘탐지’에서 ‘예측·대응 자동화’로 빠르게 이동할 것입니다. 반대로 악용률이 계속 낮게 유지된다면, 기업들은 AI 보안 도구에 대한 투자를 재고할 수도 있습니다. 이번 VulnCheck의 조사는 AI 보안의 현재를 보여주는 중요한 스냅샷이며, 앞으로의 변화를 가늠할 기준점이 될 것입니다.
#AI보안 #취약점 #사이버보안 #VulnCheck #보안위협 #AI에이전트 #취약점관리 #보안전략
출처
- AI finds plenty of security flaws, but almost none of them get exploited — The Decoder · 언론 보도 · Sun, 02 Aug 2026 10:09:34 +0000
작성: XPLAIN AI 편집팀 · 검수: XPLAIN AI Editorial Desk
이 콘텐츠는 공개된 출처를 기반으로 AI의 도움을 받아 작성되었으며, XPLAIN AI의 편집·검수 기준을 적용했습니다. 사실과 분석 의견을 구분하며, 오류가 확인되면 수정합니다.