“AI 공격 대응, 우선순위 선별부터 자동화까지” 벌른체크, 증거 기반 인텔리전스 제시

플랫폼 종속 없이 기존 보안 툴에 직접 연동하는 ‘데이터 제품’ 철학 제시
기존 CISA KEV 보다 평균 28일 빠르게 제공되는 익스플로잇 인텔리전스
위험도가 낮고 평범한 점수라도 , 실제 악용 증거 발견 시 최상위 위협으로 분류

[보안뉴스 조재호 기자] “우리는 새로운 플랫폼을 강요하지 않습니다. 고객사의 기존 보안 솔루션과 기계(Machine)들을 똑똑하게 만드는 ‘데이터 제품’(Data Product) 그 자체를 공급합니다.” 제이 월레스(Jay Wallace) 벌른체크 글로벌 세일즈 총괄 부사장은 최근 방한해 이테크시스템과 파트너십을 맺고 이같이 밝혔다.

▲(왼쪽부터)톰 데이비스 APJ 세일즈 엔지니어, 제이 월레스 총괄 부사장, 제이슨 옹 APJ 총괄 디렉터 등 벌른체크 주요 경영진이 기념 촬영을 하고 있다. [출처: 보안뉴스]

글로벌 익스플로잇 인텔리전스 기업 벌른체크(VulnCheck)가 보안 솔루션 대신 ‘순도 높은 데이터 구독’을 제시하며 한국 보안 시장에 진출한다. 제이 월레스 부사장을 비롯해 제이슨 옹(Jason Ong) 아시아 태평양 및 일본(APJ) 세일즈 총괄 디렉터, 톰 데이비스(Tom Davis) 벌른체크 APJ 세일즈 엔지니어 등 주요 경영진은 지정학적 리스크와 복잡한 IT 환경에 놓인 한국 기업들에게 획일적인 취약점 점수(CVSS)가 아닌 ‘실제 공격 증거’ 기반의 새로운 보안 패러다임 구축이 시급하다고 진단했다.

지난 2021년 설립된 벌른체크는 현재 4500만달러(643억원) 규모의 투자를 유치하며 글로벌 보안 시장에서 입지를 다지고 있다. 이들의 핵심 철학은 보안 전문가가 수동으로 위협을 분석하던 관행을 깨고, 자동화를 위한 인텔리전스를 제공하는 것이다. 600개 이상의 소스에서 수집한 위협 증거를 기존 보안 솔루션(SIEM, SOAR 등)에 API 형태로 연동하는 전략이다. 이를 통해 3~4점대 낮은 CVSS를 지닌 취약점이라도 실제 악용 증거를 확인해 패치를 권하는 등 보안관제의 효율성을 극대화한다.

이는 AI 시대를 맞아 가짜 취약점과 조작된 스크립트가 쏟아지는 문제에 대한 벌른체크의 해법이다. 회사는 자체 익스플로잇 개발팀이 수집한 리포지토리를 직접 검증한 뒤 정제된 인텔리전스만 공급한다. 나아가 실제 취약한 시스템을 인터넷 상에 올려 공격자를 유인하는 ‘카나리 인텔리전스’(Canary Intelligence)를 가동하고 있다. 이를 통해 라자루스(Lazarus)나 김수키(Kimsuky) 등 북한 배후 APT 그룹의 움직임을 조기에 포착하고 CISA KEV 카탈로그보다 평균 28일 빠르게 위협을 예측한다. 다음은 벌른체크 주요 경영진과의 일문일답이다.

Q. 벌른체크의 ‘익스플로잇 인텔리전스’(Exploit Intelligence)란 무엇이며 기존 취약점 데이터베이스(CVE)와 어떤 차이가 있는가
익스플로잇 인텔리전스는 인터넷에서 활발하게 진행되는 공격 증거 그 자체를 의미한다. NVD(National Vulnerability Database) 같은 기존 데이터베이스는 특정 결함이 존재한다는 사실과 CVSS로 이론적 심각도만 알려준다. 반면, 우리는 코드 저장소나 벤더 권고문, 랜섬웨어 추적기, 봇넷 활동 등 600개 이상의 데이터 소스를 통해 특정 취약점이 실제로 무기화 여부나 목표, C2 서버 정보는 무엇인지 추적한다.

여기서 핵심은 사람이 아닌 기계(Machine)를 위한 인텔리전스를 제공한다는 점이다. 보안 인력이 대시보드를 보면서 수동으로 리포트를 쓰던 구조를 탈피해 고객사 SIEM이나 자동화 툴과 결합해 사용할 수 있는 ‘데이터 제품’(Data Product)으로 설계된 부분이 가장 큰 차이점이다.

Q. 보안 현장에서는 어떤 방식으로 ‘익스플로잇 인텔리전스’를 활용할 수 있는가
기업마다 사용하는 보안 스택이 다르기에 콕 집어 말하긴 어려운 측면이 있지만, API 연동을 통해 데이터를 공급한다고 이해하면 쉽다. 지난 2분기 한국의 대형 제조사를 첫 고객으로 확보했는데, 이 기업은 우리의 데이터를 기반으로 사내 에이전틱 AI 워크플로우를 성공적으로 구축했다. 자체 LLM이 우리 데이터를 실시간으로 학습해 취약점 중 무엇을 먼저 패치할지 자율적으로 판단하고 있다. 이를 통해 보안 실무진의 알람 피로도(Alert Fatigue) 획기적으로 줄였다.

Q. 대다수 기업이 CVSS에 의존해 패치 우선순위를 정하는데, 벌른체크 만의 차별점은?
CVSS 스코어는 착시 효과가 있다. 이른바 치명적인 취약점으로 알려진 9점이나 10점짜리 문제도 실제 해커가 도달할 수 없는 비즈니스 로직에 위치한 경우가 많다. 반면 3점이나 4점의 낮은 위험도를 지녔지만, 현시점에서 가장 활발하게 악용되며 공격 체인에 동원되는 취약점도 존재한다.

올해 약 50만여개의 취약점이 NVD에 등록될 것으로 예상되는데, 이 중 실제 악용되는 취약점은 2%에 불과하다. 점수에 의존해 우선순위를 정하면 보안팀은 98%의 불필요한 알람에 시달릴 수 있다는 것이다.

Q. 그렇다면 벌른체크는 어떤 기준을 통해 취약점의 위험도를 평가하는가
우리는 의도적으로 단일 취약점의 점수를 부여하지 않는다. 대신 기계가 읽을 수 있는 증거와 불리언 플래그(Boolean Flag)를 제공한다. 조직의 특성과 환경에 맞춰 리스크를 평가하도록 지원하는 것이다. 동일한 취약점이라도 기업마다 파급력이 다르다. 가령, 냉각 시스템 장애가 발생했는데, 일반 사무실과 에너지 기업의 변전소를 비교해 보자면 완전히 다른 일이다. 획일화된 스코어링이 아닌 철저한 맥락(Context) 기반의 평가가 필요한 이유다.

Q. 벌른테크는 美 CISA KEV 카탈로그보다 빠르게 취약점 정보를 제공한다고 알려졌는데, 비결은 무엇인가
‘카나리 인텔리전스’(Canary Intelligence) 덕분이다. CISA는 주로 미국 핵심 인프라에 집중하며, 56개 벤더를 다룬다. 우리는 특정 지역이 아닌 글로벌 410개 벤더를 추적하고 173% 큰 데이터베이스를 구축했다. 또, 지난 2025년 말 출시한 카나리 인텔리전스를 통해 실제 네트워크에서 수집한 위협 정보도 이러한 속도에 힘을 보탰다. 이 시스템은 실제 사이버 위협을 수집하는데 공격자 IP부터 페이로드, C2 콜백 등 침투 이후 행동을 수집해 타 기관 대비 약 4주 앞선 대응을 가능케 한다.

Q. AI 발달로 자동화된 공격이 늘어났다. 벌른체크는 이러한 변화에 어떻게 대응하고 있는가
해커들이 익스플로잇 코드를 만드는 기술 장벽이 낮아졌다. 이 때문에 방어자는 취약점과 가짜 개념증명(PoC), 이른바 AI 찌꺼기(AI Slop)가 폭증한 상황이다. 많은 조직이 가짜 리포트에 매몰되어 시간을 낭비한다. 우리는 깃랩(GitLab) 등에서 수집한 PoC를 그대로 제공하지 않는다. 내부 익스플로잇 개발팀이 직접 해당 코드가 작동하는지 철저히 검증하고 순도 높은 인텔리전스만 제공해 실무진의 수고를 덜어주고 있다.

Q. 한국 시장에서 특히 주력하는 산업군이나 고객 세그먼트가 있다면
크게 4가지 세그먼트에 집중하고 있다. △첫째는 개인정보보호법과 ISMS-P 규제 마지노선을 앞둔 금융권이다. △둘째는 라자루스(Lazarus), 김수키(Kimsuky), 안다리엘(Andariel) 등 북한발 APT 공격의 최전선에 놓인 정부 및 주요 정보통신 기반 시설이다. △셋째는 기존 NVD 취약점 DB가 제대로 다루지 못하는 방대한 OT/ICS 공격 표면을 가진 대규모 제조사다. △마지막으로 벌른체크 데이터를 자사 플랫폼에 임베디드하려는 현지 관리형 보안 서비스 제공업체(MSSP)와 보안 벤더들이다.

과거 771일에 달하던 취약점 무기화 시간(Time-to-Exploit)이 최근 실시간에 가깝게 단축된 만큼, 사후 대응이 아닌 침투 이전(Pre-breach)의 선제적 대응이 한국 기업들에게 가장 시급한 과제다.

Q. 한국 보안 리더들에게 전하고 싶은 핵심 메시지와 향후 계획은 무엇인가
CVSS 점수나 취약점의 수에 얽메이지 말고, 실제 악용 증거에 기반해 우선 순위를 정해야 한다. 160만개에 달하는 경보를 처리하기 위해 직접 인프라를 구축하고 위협을 수집하는 일은 매우 어렵다. 이는 효율성 측면에서도 큰 차이를 보인다.

벌른체크의 정규화된 데이터 라이선스 구독이 압도적으로 비용 효율적일 수 있다. 전 세계 1만5000명이 사용 중인 벌른체크 커뮤니티 에디션 무료 이용을 통해 증거 기반 인텔리전스의 차별점을 직접 경험해보시길 권한다. 또, 한국 총판인 이테크시스템과 협력해 한국 내 비즈니스도 적극 확대해 나갈 계획이다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다