AI가 두 취약점 문화를 깨뜨리고 있다

Linux 커널 등 오픈소스 생태계에는 보안 취약점을 비공개로 공유한 뒤 수정 사항을 공개적으로 배포하여, 실제 취약점 존재를 며칠간 숨기려는 엠바고(Embargo) 관행이 존재한다. 하지만 최근 Copy Fail 사례에서 보듯, 이러한 방식은 외부의 발견으로 인해 엠바고가 깨지는 경우가 발생하고 있다.

AI의 등장은 이러한 보안 문화를 근본적으로 변화시키고 있다. AI가 각 커밋(Commit)별 보안 의미를 평가하는 비용을 획기적으로 낮추면서, 조용히 공개된 수정 사항에서 취약점을 찾아내는 것이 훨씬 쉬워졌기 때문이다.

기존의 두 가지 보안 문화 모두 AI의 압박을 받고 있다.

• 조율된 공개(Coordinated Disclosure): 보통 90일 정도의 유예 기간을 두어 수정이 먼저 배포되도록 유도하지만, AI 지원 도구가 소프트웨어를 대량으로 스캔하면서 이 기간이 무의미해지고 있다.
• “버그는 버그” 문화: 보안 이슈임을 강조하지 않고 빠르게 수정하는 방식이지만, AI가 커밋 내의 보안 관련 신호를 더 잘 포착하게 되면서 의도치 않게 취약점을 노출할 위험이 커졌다.

실제로 Gemini, ChatGPT, Claude 등 주요 LLM 모델에 특정 커밋(diff)을 입력했을 때, 모델들이 이를 보안 패치로 식별해낼 수 있음이 확인되었다. 이는 AI가 공격자와 방어자 모두에게 강력한 도구가 되어, 앞으로는 매우 짧은 엠바고가 표준이 될 가능성을 시사한다.