AI-화이트해커가 바꾸는 보안 거버넌스

<<사후 대응에서 선제 탐색으로: AI-화이트해커가 바꾸는 보안 거버넌스>>

요즘 화이트해커 및 민간보안연구자를 활용한 보안취약점 공개제도(CVD, DVP) 도입 방안을 고민 중인데, AI 환경에서는 인간 화이트해커의 한계를 넘어 AI-화이트해커로 AI보안 시스템을 전환해야 한다는 주장을 담고 있는 논문이 나와 관심을 끌었다. 이 논문은 AI-화이트해커를 단순한 자동화 보안 도구가 아닌, 사이버 방어 패러다임 자체를 전환하는 핵심 운영 주체로 재정의한다. 생성형 AI로 공격이 자동화·고속화되는 환경에서, 방어 역시 인간의 사후적 대응을 넘어 공격자 관점을 내재화한 AI 기반 상시 침투·시뮬레이션 체계로 진화해야 한다는 것이다. AI-화이트해커는 실제 시스템을 복제한 사이버트윈 환경에서 공격 시나리오를 자동 생성·실행하고, 취약점의 악용 가능성과 연쇄 피해를 사전에 검증함으로써 “탐지 후 대응”이 아닌 예측·선제 대응형 보안을 구현하는 시스템이다. 이는 보안을 비용이나 규제 차원이 아닌, 국가 안보·디지털 주권·경제안보를 지탱하는 필수 공공 인프라로 재정립해야 한다는 정책적 메시지로 확장된다.

이러한 논문의 문제의식은 CVD·DVP·버그바운티 제도 역시 AI 환경에 맞게 근본적으로 재설계되어야 함을 시사하는 것이라 하겠다. CVD는 외부 제보 중심의 사후적 신고 절차에서 AI-화이트해커에 의한 상시적 취약점 탐색과 위험도 기반 관리 체계로 전환되어야 한다는 것이고, DVP는 공개 시점과 범위를 인간의 정성적 판단에 맡길 것이 아니라, AI가 산출한 악용 가능성·확산 속도·공급망 영향에 대한 시뮬레이션 결과를 기준으로 정량화되어야 한다는 것이다. 따라서 버그바운티는 인간 화이트해커 중심의 단발성 보상 모델을 넘어 AI 도구 활용을 전제로 한 ’AI-버그바운티’로 확장되어야 하며, 단일 취약점보다 공격 시나리오와 구조적 위험 발견에 보상이 집중되어야 한다는 것이다. 결국 이 논문은 AI-화이트해커 운영을 통해 취약점 공개와 보상 제도를 속도·규모·연쇄성을 갖춘 AI 시대의 위험 관리 장치로 재정립해야 한다는 명확한 정책 방향을 제시한다는 점에서 AI보안 기술연구의 중요한 시사점을 제공해준다.

*출처: 신창의, 권태웅, 성하영, 이준(2025), “AI기반 사이버공격 대응 전략: AI-화이트해커를 중심으로”, 정보보호학회지, 제35권 제5호(2025.10). 한국정보보호학회. pp.19-29.