구글 AI 버그 헌터 Big Sleep, 최초로 20개의 오픈 소스 소프트웨어 보안 결함 발견, 지능형 보안의 새로운 시대 개막

뉴스 요약

구글 AI 기반 취약점 헌터 "빅 슬립", 오픈소스 소프트웨어에서 20개 보안 취약점 발견 성공 – 사이버 보안 분야 AI의 중대한 돌파구

AI 취약점 헌터, 역사적 돌파구 마련

구글 보안 부사장 헤더 애드킨스(Heather Adkins)가 이번 주 월요일 발표한 바에 따르면, 이 회사의 대규모 언어 모델(LLM) 기반 취약점 연구 도구 "빅 슬립(Big Sleep)"이 처음으로 20개의 보안 취약점을 보고했습니다. 이 취약점들은 오디오/비디오 처리 라이브러리 FFmpeg 및 이미지 편집 스위트 ImageMagick과 같은 널리 사용되는 오픈소스 소프트웨어의 핵심 프로젝트에 주로 존재합니다.

기술 구현 원리

빅 슬립은 구글 AI 부문 딥마인드(DeepMind)와 엘리트 해커 팀 프로젝트 제로(Project Zero)가 공동 개발한 제품입니다. 이 시스템은 고급 머신러닝 모델을 채택하여, 방대한 양의 알려진 취약점 데이터로 훈련된 후 코드베이스 내의 비정상적인 패턴을 분석할 수 있습니다. 기존의 정적 분석 도구와 달리, 빅 슬립은 수동 검토에서 놓칠 수 있는 미묘한 문제들을 식별할 수 있습니다.

구글 대변인 킴벌리 샘라(Kimberly Samra)는 언론에 다음과 같이 밝혔습니다. "고품질의 실행 가능한 보고서를 보장하기 위해, 보고 전 인공 전문가가 검증에 참여하지만, 각 취약점은 AI 에이전트가 사람의 개입 없이 발견하고 재현했습니다."

산업 영향 및 의미

구글 엔지니어링 부사장 로열 한센(Royal Hansen)은 소셜 미디어에서 이러한 발견이 "자동화된 취약점 발견의 새로운 지평"을 보여준다고 언급했습니다. 업계 전문가들은 이것이 사이버 보안 분야의 패러다임 전환을 의미하며, 조직들이 능동적인 취약점 관리를 위해 AI에 점점 더 의존하게 될 것이라고 보고 있습니다.

경쟁 구도 분석

빅 슬립이 시장에서 유일한 AI 기반 취약점 헌터는 아닙니다. 현재 RunSybil 및 XBOW와 같은 경쟁 제품들이 있습니다. 주목할 만한 점은 XBOW가 HackerOne 취약점 포상 플랫폼의 미국 순위에서 상위권을 차지한 적이 있다는 것입니다.

RunSybil 공동 창립자 겸 CTO 블라드 이오네스쿠(Vlad Ionescu)는 빅 슬립을 "합법적인" 프로젝트로 평가하며 다음과 같이 말했습니다. "빅 슬립은 잘 설계되었고, 그 뒤에는 경험이 풍부한 팀이 있습니다. 프로젝트 제로는 취약점 발견 경험을 가지고 있으며, 딥마인드는 강력한 컴퓨팅 능력과 자원 지원을 갖추고 있습니다."

도전 과제 및 한계

AI 취약점 헌터가 엄청난 잠재력을 보여주지만, 상당한 도전 과제에도 직면해 있습니다. 여러 소프트웨어 프로젝트 관리자들은 AI "환각"으로 인해 생성된 수많은 허위 취약점 보고서를 받았다고 불평했습니다. 이러한 보고서는 겉으로는 가치 있어 보이지만, 실제로는 AI가 꾸며낸 내용이며, 업계에서는 이를 "취약점 포상 분야의 AI 쓰레기"라고 부릅니다.

기술 사양 및 보안 고려 사항

공개된 정보에 따르면, 빅 슬립은 제미니(Gemini) 대규모 언어 모델 기술을 채택하고 있으며, 다음과 같은 기능을 수행할 수 있습니다.

• 잠재적인 보안 취약점을 식별하기 위해 코드베이스를 자동 스캔
• 발견된 문제를 독립적으로 검증하고 재현
• 구글 보안 코드 검토 파이프라인과 통합
• 수정 패치 제안 제공

영향을 받는 소프트웨어를 보호하기 위해 구글은 표준 공개 정책을 따르며, 취약점 수정이 완료되기 전까지는 구체적인 세부 정보를 공개하지 않습니다.

최근 주요 발견

이 20개의 취약점 외에도, 빅 슬립은 최근 SQLite 취약점(CVE-2025-6965)을 발견했습니다. 이는 위협 행위자에게만 알려져 있고 악용될 위험이 있는 중요한 보안 결함이었습니다. 구글은 이것이 AI 에이전트가 현실 세계의 취약점 악용 시도를 직접 저지한 첫 사례라고 주장합니다.

미래 전망

분석가들은 AI 기반 사이버 보안 도구 도입에 뒤처진 조직들이 기존 감사로는 발견하기 어려운 잠재적 취약점 위협에 직면할 수 있다고 예측합니다. 최고 정보 보안 책임자(CISO)는 유사한 머신러닝 기반 코드 스캐너를 시범 운영하고, 모델 훈련을 시작하기 위해 과거 취약점 데이터 레이블링에 투자하는 것을 고려해야 합니다.

업계 반응

사이버 보안 전문가들은 이러한 발전에 대해 낙관적인 반응을 보였으며, 한 사용자는 소셜 미디어에서 구글의 도구를 능동적 방어의 "게임 체인저"라고 칭하면서도, 오탐을 피하기 위한 인간의 감독 필요성을 강조했습니다.

이러한 돌파구는 사이버 보안 분야에서 AI의 엄청난 잠재력을 보여줄 뿐만 아니라, 미래 사이버 보안이 기계의 정확성과 인간의 창의성을 결합하여 취약점 악용 기간을 단축하고 기업과 소비자 모두에게 혜택을 제공하는 인간-기계 협업 모델에 더 많이 의존할 것임을 예고합니다.