90일 공개 정책은 죽었다

LLM이 취약점 발견과 익스플로잇 개발 속도를 획기적으로 높이면서, 기존 보안 업계의 표준이었던 90일 책임 공개(Responsible Disclosure) 모델이 실효성을 잃고 있습니다.

LLM이 초래한 보안 패러다임의 변화

• 동시 재발견 현상: LLM 지원을 받는 연구자들이 유사한 도구와 프롬프트를 사용함에 따라, 동일한 취약점에 대해 짧은 기간 내에 중복 보고가 몰리는 현상이 관측됩니다. 실제로 한 결제 검증 버그는 6주 동안 11명에게 보고되었습니다.
• 익스플로잇 개발 가속화: 과거에는 패치 분석 후 익스플로잇 제작에 며칠이 걸렸으나, 이제는 AI를 통해 30분 만에 작동하는 코드를 만들 수 있습니다. React의 DoS 패치 사례가 대표적입니다.
• 커널 취약점 자동 스캔: AI를 활용해 Linux 커널의 특정 하위 시스템을 약 1시간 동안 자동 스캔하여, 9년 동안 방치되었던 Copy Fail 취약점을 찾아내는 사례도 발생했습니다.

결론 및 대응 방향

이제 90일의 공개 유예 기간은 사용자를 보호하기보다 공격자에게 **선행 시간(Head start)**을 제공하는 구조로 변질되었습니다. 기업은 보안 파이프라인에 LLM을 적극 도입하고, 치명적인 이슈는 P0로 분류하여 즉시 처리하는 기민한 대응 체계를 갖춰야 합니다.