AI가 보안 구멍을 찾은 다음, 누가 고칠까

보안 구멍을 발견했다는 알림이 열 개, 백 개로 늘어난다. 정작 고칠 사람의 하루는 그대로다. 앤트로픽이 10월8일 발표한 Cyber Mission은 이 간격을 겨냥한다. AI가 취약점을 찾는 능력과 실제 시스템을 안전하게 바꾸는 능력 사이의 거리다.

회사가 내놓은 큰 축은 두 개다. 전력·수도·운송 같은 기반시설의 방어를 돕는 프로그램, 그리고 여러 서비스의 바탕이 되는 오픈소스를 지원하는 작업이다. 기반시설 쪽은 기존 보안·설비 업체와 현장 지원을 넓히고, 오픈소스 쪽은 정기 검사 경로를 새로 여는 방식이다.

기반시설 쪽에는 모델만 들어가지 않는다. 현장 엔지니어와 위협 연구도 함께 제공한다. 회사는 일부 파트너가 이미 Claude로 취약점을 고치는 작업을 진행 중이라고 밝혔다. 다만 오래 운영한 설비는 곧바로 멈출 수 없어, 발견된 문제를 실제 수정으로 옮기는 데 시간이 걸린다.

오픈소스에는 유지관리자가 신청해 주기적으로 검사받는 무료 스캐너가 제시됐다. 다만 자동으로 만들어진 보고서를 사람이 미리 검토하는 서비스는 아니라고 명시했다. 결과를 받는 사람에게는 실제 문제인지 가리고 자기 프로젝트에 맞게 처리할 일이 남는다.

여기서 무료라는 단어의 뜻이 달라진다. 검사 비용이 없어도 보고서를 읽고, 수정하고, 다른 기능이 깨지지 않는지 살피는 작업은 사라지지 않는다. 이는 스캐너가 무용하다는 말이 아니라 탐지 속도만으로 전체 효과를 계산하기 어렵다는 뜻이다.

회사는 기반시설과 오픈소스가 각각 처한 조건에 맞춰 지원하겠다고 설명한다. 한쪽은 현장의 설비와 운영 일정이 중요하고, 다른 쪽은 유지관리자가 감당할 수 있는 보고량과 수정 역량이 중요하다. 같은 모델을 쓰더라도 실제로 해결해야 할 일이 다르다.

Cyber Mission의 사업적 변화도 이 대목에서 드러난다. AI 회사가 좋은 답을 내는 도구를 파는 데서, 그 답이 적용되는 과정을 책임 있게 지원하는 쪽으로 움직이고 있다. 이번 계획이 어느 규모의 사업으로 이어질지는 아직 공개되지 않은 부분이다.

모델과 사람을 함께 제공하는 구성은 보안 업무의 병목을 드러낸다. 탐지한 문제의 심각성을 가리고, 수정 순서를 정하고, 운영 부서와 가동 일정을 맞춰야 한다. 탐지를 빠르게 만드는 도구와 조직이 안전하게 변경하도록 돕는 지원을 한 프로그램에 묶은 셈이다.

자동 보고서의 정확도와 실제 피해 감소 역시 따로 검증해야 한다. 회사의 기대나 자체 설명이 개별 시설의 안전을 보증하지는 않는다. 특히 현장 시스템의 비용과 교체 일정, 스캐너 결과가 수정으로 이어진 비율은 이번 발표만으로 확인하기 어렵다.

Cyber Mission이 남긴 뉴스는 AI가 더 많은 구멍을 찾는다는 한 문장보다 넓다. 그 구멍을 누가 어떤 순서로 메울지까지 AI 회사의 과제로 들어왔다는 것이다. 앞으로의 성과는 쌓인 경고의 개수뿐 아니라 실제로 끝낸 수정에서도 드러날 것이다.