AI 공격 속도 20시간 붕괴... AWS가 제시한 조직 보안 ‘5대 실천 과제’

취약점 탐지부터 자율 익스플로잇까지 ‘머신 스피드’ 위협
개발 수명주기 초기부터 통합한 ‘Shift Left’ 촉구

[보안뉴스 조재호 기자] 아마존웹서비스(AWS)가 서울 사무실에서 ‘AWS Security 101 기자간담회’를 열고 고성능 AI 시대의 가속화에 따른 보안 환경 변화와 다층적 방어 전략을 공유했다. 이번 간담회는 프론티어 AI가 제로데이 취약점 탐지부터 익스플로잇 생성까지 가능한 모델을 연이어 출시함에 따라, 무너진 속도의 비대칭성을 극복할 조직적 대안을 모색하기 위해 마련됐다.

▲(왼쪽부터)신은수 AWS 코리아 아키텍트와 이진욱 LG CNS 팀장이 질의응답을 진행하고 있다. [출처: AWS 코리아]

발표자로 나선 신은수 AWS 코리아 수석 보안전문 솔루션즈 아키텍트는 고성능 AI의 등장으로 과거 전문가 집단에 의존하던 정교한 타깃형 공격의 기술 진입장벽이 무너졌다고 진단했다. 실제로 평균 익스플로잇 소요 시간은 2018년 2.3년에서 2024년 5일, 2026년 현재 약 20시간으로 급격히 붕괴됐다. 반면 보안 취약점 패치는 평균 32일에서 38일에 머물러 있어, 정적인 엑셀 체크리스트나 사후 통제 중심의 기존 위험 모델은 완전히 유효성을 상실했다는 지적이다.

이에 AWS는 발견·우선순위·검증·완화를 단일 시스템으로 묶은 ‘AWS 컨티뉴엄’과 수학적 증명 기술인 자동 추론(Automated Reasoning)을 내장한 ‘AWS 시큐리티 에이전트’ 등 기계의 속도에 맞춘 에이전틱 보안 플랫폼을 대안으로 제시했다.

신은수 AWS 코리아 아키텍트는 “공격자는 기계의 속도로 자율 루프를 돌리며 전방위로 침투하는데 방어자가 과거의 관행에 머물러 있다면 보안은 과부하로 마비될 수밖에 없다”며 “5대 권고사항을 바탕으로 보안을 비용이 아닌 비즈니스 생태계의 신뢰를 담보하는 강력한 인프라로 재정의해야 한다”고 말했다.

이어 이진욱 LG CNS RED팀 팀장은 대형 보안 사고와 사내 각종 프로젝트 확산으로 모의해킹 수요가 폭증하자, 인력 확충의 한계를 극복하기 위해 2025년 말부터 ‘AWS 시큐리티 에이전트’ 도입을 적극 검토했다고 밝혔다. 그 결과 계정 권한 등 구체적 맥락을 AI에 추가 제공했을 때 취약점 탐지 신뢰도가 기존 60퍼센트에서 90퍼센트로 대폭 상승했으며, 전문가 수동 점검 시 평균 5일이 걸리던 작업이 단 1일 만에 완료되며 최대 80퍼센트의 시간 단축 효과를 거뒀다.

이진욱 LG CNS 팀장은 “2026년 2분기까지 일부 서비스에 대해 완벽한 개념검증(PoV)을 수행한 트랙 레코드를 바탕으로, 3분기 이후부터는 사내 지능형 모의해킹 및 자율 테스트 비율을 공격적으로 확대 전개해 나가겠다”고 밝혔다.

또, AWS는 고성능 AI 위협에 직면한 기업 조직들이 단순한 보안 도구 도입에 그치지 않고 체질을 근본적으로 개선할 수 있도록 5대 실천 권고사항(Action Items)도 제시했다.

첫째, 보안을 개발 수명주기 자체에 통합해 처음부터 결함이 적은 소프트웨어를 생산하는 ‘시프트 레프트(Shift Left)’ 거버넌스를 확립해야 한다. 이를 위해 차세대 통합개발환경(IDE)인 ‘키로(Kiro)’와 ‘AWS IAM 포리시 오토파일럿’ 등의 도구를 결합할 것을 권고했다.

둘째, 취약점 존재와 발견 사이의 시차를 없애기 위해 ‘AWS 시큐리티 에이전트’를 이용한 AI 기반 자율 침투 테스트를 상시 가동하고 지속적인 보안 검증을 자동화해야 한다.

셋째, AI 에이전트 활성화로 확장된 새로운 공격 표면을 방어하기 위해 ‘아마존 베드록 에이전트코어’ 기반의 데이터 경계(Data Perimeter) 보안을 촘촘히 재설계해야 한다.

넷째, ‘시큐리티 허브 익스텐디드’ 플랫폼을 통해 탐지 내역을 표준 형식(OCSF)으로 통합하고 ‘AWS 데브옵스 에이전트’를 배치하여 사고 대응 시간을 시간 단위에서 분 단위로 축소하는 등 보안 운영을 무한 확장해야 한다.

다섯째, 제품 팀 내에 ‘보안 챔피언’을 육성하고 설계 리뷰 단계부터 ‘위협 모델링’을 내재화하는 등 최고경영진의 주도하에 보안을 사후 고려사항이 아닌 전제 조건으로 삼는 보안 문화를 정착시켜야 한다는 제언이다.

신은수 AWS 코리아 아키텍트는 “공격자는 기계의 속도로 자율 루프를 돌리며 전방위로 침투하는데 방어자가 과거의 관행에 머물러 있다면 보안은 과부하로 마비될 수밖에 없다”며 “5대 권고사항을 바탕으로 보안을 비용이 아닌 비즈니스 생태계의 신뢰를 담보하는 강력한 인프라로 재정의해야 한다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다