AI 보안 자동화, 발견 뒤 검증·적용 권한까지 살펴야

AI가 취약점을 찾아도 실제 서비스에 수정 사항을 반영하기까지는 여러 판단이 남는다. 무엇을 먼저 고칠지, 제안이 타당한지, 누가 적용할지를 구분해야 한다. Cloudflare의 새 서비스 발표와 Google의 브라우저 보안 운영 설명은 이 과정을 서로 다른 환경에서 다룬다. 두 자료 모두 해당 기업의 설명이며, 제공된 자료에 외부 검증 결과는 없다.

Cloudflare는 9월 3일 고객 애플리케이션의 취약점을 탐지하고 대응 방안을 제안하는 서비스의 초청형 조기 이용을 발표했다. 초기 조사 대상은 고객이 접근을 허용한 애플리케이션 한 개다.

회사 설명에서 운영 정보와 코드 근거는 역할이 다르다. 경로별 트래픽, 보안 이벤트, 기존 웹 애플리케이션 방화벽(WAF) 보호 설정은 대응 우선순위를 판단하는 자료다. 취약점이 실제로 존재하는지 판단하려면 별도의 소스 코드 근거가 필요하다. 운영상 노출 정도를 평가하는 일과 코드 결함을 확인하는 일을 구별한 구성이다.

Cloudflare는 코드 패치와 조건에 맞는 WAF 규칙을 제안한다고 밝혔다. 구역 방어 권한을 부여받은 경우 규칙을 배포하는 절차도 설명했다. 다만 모델 자체에는 패치나 규칙을 적용할 권한이 없다고 명시했다.

탐색·취약점 조사·검증에는 GPT-5.6 Cyber를 사용하며 추론은 OpenAI 서버에서 수행한다는 설명이다. 제안 결과는 모델 외부 검사와 담당 팀의 검증을 거쳐 고객 검토로 넘어간다. 국내 도입 검토에서는 기능 목록과 함께 외부 추론 환경, 검증 책임, 부여할 방어 권한을 확인할 필요가 있다.

별도 사례인 Google의 7월 30일 발표는 Chrome 취약점 처리에 재현 시험, 심각도 분류, 담당자 배정, 수정안 생성과 개발자 검토를 포함한다고 설명했다. Google이 보고한 Chrome 149·150의 보안 버그 수정 1,072건은 두 버전의 전체 수정 건수다. 이를 전부 AI가 발견하거나 수정한 실적으로 해석할 근거는 없다.

Google은 보안 업데이트를 주 2회 제공하는 방식을 시험 중이라고 밝혔다. 브라우저 전체 재시작을 줄이기 위한 동적 패치는 연구·개발 대상으로 설명했다.