이승준 옵시아 대표 “오탐의 벽 넘은 자율형 AI, 제로데이 발굴로 실체 증명해”

SAST·DAST 결합한 하이브리드 엔진으로 오탐률 획기적 개선
워드프레스 CVSS 9.1 취약점(CVE-2026-40769) 단독 발굴 성과
“단순 마케팅 용어 넘어선 실전적 방어 수단으로 AI 증명할 것”

[보안뉴스 조재호 기자] “옵시아(OPCIA)는 AI 기반 정밀 취약점 분석을 시작으로 자동 보안 패치, 실전형 모의해킹 등을 핵심 역량으로 망분리 환경을 비롯한 다양한 영역에 커스터마이징 보안 솔루션과 AI 기반 솔루션군을 공급하는 사이버 보안 전문 기업입니다.”

▲이승준 옵시아 대표가 국제 원자력 사이버보안 컨퍼런스(IAEA CyberCon 2026)에서 발표를 진행하고 있다. [출처: 옵시아]

최근 워드프레스 플러그인의 치명적 제로데이 취약점(CVE-2026-40769, CVSS 9.1)을 단독 발굴해 낸 이승준 옵시아 대표의 철학은 명확했다. 이는 인증 절차 없이 임의의 파일을 삭제할 수 있는 치명적인 결함으로, 이번 취약점 발굴은 옵시아의 자율형 AI 보안 플랫폼 ‘모드온’(ModOn)이 인간의 개입 없이 단독으로 찾아낸 결과물이었다. 최신 AI 보안 도구들이 앞다투어 시장에 등장했지만, 실제 환경에서 최상위 취약점을 찾아 보고까지 마친 사례는 드물다.

이 대표는 “실험실 안에서 가공된 데이터가 아닌 실제 글로벌 생태계에서 작동 중인 복잡한 플러그인의 논리적 맹점을 AI가 스스로 포착했다는 점이 중요하다”며 모드온의 자율 추론 능력을 강조했다. 단순한 패턴 매칭을 넘어 코드의 맥락을 이해하고 취약한 지점을 AI가 스스로 예측해 냈기에 가능한 결과였다.

이제 옵시아는 소스코드 분석을 넘어 바이너리, 펌웨어 그리고 고객사 고유의 AI 라이선스를 활용하는 비즈니스 모델로 보폭을 넓히고 있다. 실제 현장에서 제로데이를 꿰뚫어 본 옵시아의 기술력을 이승준 대표와의 대화를 통해 짚어봤다.

오탐의 늪 벗어난 하이브리드 엔진, 실전형 모의해킹과 패치 자동화의 기반 되다
기업들이 AI 보안 도입을 망설이는 가장 큰 이유인 오탐 문제에 대해 옵시아는 기술적 해답을 내놨다. 기존 정적 분석(SAST) 기반 AI가 의심되는 모든 지점을 리포트해 실무자들에게 불필요한 데이터를 양산했다면, 모드온은 이를 동적 분석(DAST)과 무작위 데이터로 오류를 유도하는 퍼징(Fuzzing) 기술로 다시 검증하는 이중 구조 파이프라인을 채택했다.

AI가 직접 가상의 공격 환경을 설정하고 오류를 유도해 실제 해킹이 가능함을 증명하는 코드(PoC)를 생성함으로써 오탐을 자동으로 식별하고 차단해 실무 환경의 효율성을 극대화한다는 설명이다.

특히 소스코드 분석 제품인 ‘모드온-SV’(ModOn-SV)는 단순한 구문 분석을 넘어 개발자의 로직 흐름을 심층 추론하는 ‘지식 지속성’(Knowledge Persistence) 학습 모델을 적용했다. 글로벌 보안 업계의 주목을 받는 ‘클로드 미토스’(Claude Mithos)처럼 단순 패턴을 넘어 코드의 논리적 맹점을 심층 추론하는 기술이 자사 엔진에도 구현된 것이다.

이는 분석을 거듭할수록 보안 지식을 영구적으로 누적해 탐지 정확도를 높이는 구조다. AI의 심층 논리 추론 프로세스는 일반적인 스캐너가 놓치기 쉬운 비즈니스 로직의 결함까지 찾는다. 이 과정에서 생성된 PoC 코드는 옵시아가 강조하는 ‘실전형 모의해킹’의 핵심 자산이다. 단순 취약점 발견을 넘어, 보안 담당자가 즉시 위협을 실증할 수 있는 공격 스크립트를 제공해 개발 부서와의 소통 비용을 줄여주기 때문이다.

취약점 탐지 이후 대응도 자동화 영역으로 끌어들였다. ‘모드온-P’(ModOn-P) 기술은 서비스 전체를 중단하지 않고 취약 지점만을 타격해 보안을 강화하는 방어막 구축(Hardening) 기법을 적용했다. AI가 안전한 패치 코드를 제안하고 자동 적용해 대응 시간을 획기적으로 단축한 파이프라인을 구축한 것이다.

사각지대 걷어낸 바이너리 분석... 국가 인프라 방어의 자동화
옵시아의 기술력은 소스코드가 없는 바이너리, 펌웨어 분석 영역에서도 확인할 수 있다. ‘모드온-V’(ModOn-V)는 실행 파일 자체를 직접 분석해 오버플로우나 로직 결함을 찾아내며, 패치 전후의 바이너리를 정밀 비교 분석하는 기술로 알려지지 않은 위협을 추적한다.

이 대표는 “보안 업데이트가 까다로운 OT와 IoT 환경, 그리고 가용성이 최우선인 국가 기반 시설에 최적화된 방어 시나리오를 제공한다”고 덧붙였다.

코드와 웹 환경을 아우르는 다단계 심층 분석 과정은, 탐지된 위협이 이론상의 수치가 아닌 실제 공격으로 이어질 수 있음을 증명하는 실전적 방어 체계다. 비즈니스 측면에서도 고객사가 이미 보유한 AI 서비스 라이선스를 연동하는 모델을 채택해 도입 장벽과 비용 부담을 낮췄다. 이를 통해 고객사는 기존 인프라를 활용할 수 있어 운영 효율성과 라이선스 유연성을 확보할 수 있다.

망분리 넘어 공급망 보안까지 아우른 확장성 갖춰
이 대표는 옵시아의 기술력이 단순 웹이나 소스코드 분석에 그치지 않고, 기업의 비즈니스 환경과 공급망 전체를 보호하는 방향으로 확장하고 있음을 강조했다. 보안 요구 수준이 높아 클라우드 기반 AI 도입이 어려운 금융권이나 주요 국가 기반 시설의 망분리·폐쇄망 환경에서도 유연하게 작동하는 온프레미스 커스터마이징을 지원한다. 이는 고객사의 라이선스를 연동하는 방식과 결합해 경제성과 보안성을 동시에 확보하려는 전략이라는 설명이다.

나아가 오픈소스나 서드파티 라이브러리의 취약점을 추적하는 ‘공급망 보안’ 기능까지 아우르며, 기업이 인지하지 못한 사각지대의 위협을 원천 차단하는 종합 보안 플랫폼으로서의 면모를 갖췄다.

AI 도구 전쟁... 실전적 ‘방어 자동화’가 자율형 보안의 핵심
지난 14일 MS가 100여 개의 AI 에이전트가 협업하는 자율형 보안 시스템 ‘MDASH’를 공개했듯, 방어의 패러다임이 단순 탐지에서 자동화된 실전 대응으로 급격히 넘어가고 있다.

공격과 방어 모두 AI를 무기로 경쟁하는 시대, 이 대표는 성공적인 보안을 위한 핵심 경쟁력으로 ‘데이터 기반의 맥락 이해’를 꼽았다. 기업의 보안은 단순히 최신 AI 도입으로 보장받을 수 없다. 모드온 같은 플랫폼이 특정 비즈니스 환경에서 탐지된 취약점의 실질적 파급력을 정확히 판단하려면 조직 내부의 시스템 흐름과 연계된 융합적 분석이 필수적이기 때문이다.

보안팀은 단순한 탐지 기능을 넘어, AI 시스템을 실무에 최적화하고 실제적인 보안 리스크를 관리하는 운영 역량을 갖춰야 한다. 기술의 도입을 넘어 현장에서 즉각 대응 가능한 ‘방어의 자동화’를 실현하는 것이 중요하기 때문이다.

이 대표는 “기업이 보안 인프라에서 생성되는 로그와 데이터를 기반으로 자율형 분석 엔진을 활용해 능동적인 대응 체계를 구축할 때, AI는 진정한 우군으로 거듭날 수 있다”며, “자율형 보안이 단순 마케팅 용어를 넘어 실제 제로데이를 잡아내고 실전적 방어 인프라로 자리 잡도록 만드는 것, 그것이 옵시아가 그리는 기업 보안의 완성”이라고 강조했다.

[조재호 기자(zephyr@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)