[ISEC 2026] AI 시대 공격표면 폭증... 해커원이 제시하는 노출관리 4단계

11일 ISEC 2026 1일차 키노트
△발견 △우선순위 지정 △수정 △지속 관리 강조

[보안뉴스 강현주 기자] 생성형 AI가 보편화되면서 공격자들은 적은 비용으로 대규모 공격을 자동화할 수 있게 됐고, 기업들이 방어해야 할 ‘공격 표면’은 폭발적으로 증가했다.

지속적 위협 노출 관리(CTEM) 기업인 해커원은 이 같은 변화 속에서 기존 방식으로는 대응이 어렵다는 위기감을 강조하며 ‘노출 관리’ 중요성을 강조하고 있다.

11일 서울 삼성동 코엑스에서 열린 제20회 국제 시큐리티 콘퍼런스(ISEC 2026)에서 존 아데오(John Addeo) 해커원 부사장은 기조연설을 통해 변화하는 위협 환경에 대한 전략으로 ‘지속적 노출관리’(CTEM)을 제시했다.

아데오 부사장은 “몇 년 전까지만 해도 취약점 발견부터 실제 공격 코드로 이어지는 데 수개월이 걸렸지만, 최신 AI 모델들은 그 시간을 극적으로 단축시켰다”며 “기존의 침투 테스트(Pentesting) 등 전통적 방식만으로는 끊임없이 진화하는 공격 유형을 따라잡기에 역부족”이라고 말했다. 기획부터 배포, 보고서 도출까지 시간이 실제 공격 발생의 기회 비용보다 훨씬 길어지면서 ‘보안 격차’가 점점 커지고 있기 때문이라는 설명이다.

아데오 부사장은 노출관리의 4단계로 △발견(Discovery) △우선순위 지정(Prioritization) △수정(Remediation) △지속 관리(Ongoing Management)를 제시했다.

발견은 조직이 보유한 모든 자산을 정확하게 파악하고, 현재 인터넷상에 무엇이 노출되어 있으며 어떻게 운영되고 있는지 가시성을 확보하는 첫 걸음이다.

모든 취약점을 동일한 비중으로 대응하는 것은 불가능하다. 불필요한 알람(노이즈)를 최소화하고, 실제로 ‘익스플로잇’(공격) 가능한 핵심 위협을 식별해 신호 대 잡음비를 높이는 과정인 우선순위 지정이 필수다. 단순히 패치를 적용하는 것에 그치지 않고, 수정 사항이 제대로 작동하는지 재테스트 및 재검증을 거쳐 취약점이 재발하지 않도록 운영 체계와 연동해야 한다.

아데오 부사장은 “전체 비즈니스 환경을 아우르는 사이버 보안 거버넌스를 구축하고, 위에서 언급한 과정들을 지속적으로 관리하며 개선해 나가는 운영 모델을 정착시켜야 한다”며 “해커원은 코드 리뷰부터 버그 바운티까지 전체 공세적 보안 프로세스를 관리할 수 있는 플랫폼을 제공한다”며 지속 관리의 중요성을 강조했다.

그는 “AI가 모든 보안 문제를 해결해 줄 것이라는 환상에서 벗어나, ‘인간과 AI의 협업’에 집중해야 한다”며 “AI 에이전트가 압도적인 규모와 속도로 취약점을 탐색하고 공격 가능성을 높여준다면, 인간 전문가들은 고도의 판단력과 창의력을 발휘해 AI가 놓칠 수 있는 복잡한 보안 위협을 해결해야 한다”고 말했다.

[강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다