취약점 공개에서 취약점 거버넌스로

이 그래프는 CVE 취약점이 공개된 이후 실제 공격(weaponization/exploitation)이 발생하기까지 걸리는 시간(Time-to-Exploit, TTE)이 지난 8년 동안 어떻게 변화했는지를 보여준다.

Zero Day Clock 분석에 따르면 취약점 공개 이후 실제 공격이 발생하기까지 걸리는 시간(TTE)은 급격히 줄어들고 있다. CVE가 공개된 뒤 실제 공격이 확인되기까지의 평균 시간은 2018년 약 2.3년에서 2020년 1.3년, 2021년 10.8개월, 2023년 4.9개월로 계속 감소했으며, 2024년에는 56일, 2025년에는 23.2일, 2026년에는 1.6일 수준까지 급격히 단축된 것으로 나타났다.

특히 실제 공격 발생 시점을 보여주는 중앙값(median)은 최근 몇 년간 취약점 공개 직후 또는 사실상 동시에 공격이 시작되는 수준으로 떨어져, 취약점 공개와 공격 사이의 전통적인 ‘패치 대응 시간’이 사실상 사라지고 있음을 보여준다. 한마디로 취약점 공개에서 공격까지 걸리는 시간이 사실상 ‘0’에 가까워지고 있는 셈이다.

CVE(Common Vulnerabilities and Exposures): 소프트웨어나 시스템에서 발견된 공개된 보안 취약점에 고유 식별번호를 부여해 표준화한 국제 취약점 식별 체계를 말함. 각 취약점은 ‘CVE-연도-번호’ 형태의 식별자를 부여받아 전 세계 보안 연구자, 기업, 정부기관이 동일한 취약점을 공통된 기준으로 식별하고 정보 공유, 패치 관리, 보안 대응에 활용할 수 있도록 함.

공개 제도 자체가 이미 늦은 것 아니냐

이같은 연구결과는 사이버보안 정책을 추진하는 입장에서는 분명 부담스러운 데이터이다. 취약점 공개 후 공격까지 평균 수년이 걸리던 과거와 달리, 이제는 수일 또는 수시간 내에 공격이 발생하는 경우가 늘고 있기 때문이다. 이런 흐름만 놓고 보면 “취약점을 공개하는 제도 자체가 이미 늦은 것 아니냐”는 의문이 제기될 수 있다.

특히 이제 막 협력적 취약점 공개(CVD)나 취약점 신고 프로그램(VDP)을 제도화하려는 우리 입장에서는 이러한 해석이 정책 추진의 명분을 약화시킬 수 있다는 점에서 우려가 생길 수밖에 없다.

그러나 이 데이터를 취약점 공개 제도의 한계나 무용성으로 해석하는 것은 정책적으로 정확한 접근이라고 보기 어렵다. 오히려 이 데이터는 취약점 공개 제도가 왜 여전히 필요한지를 역설적으로 보여주는 측면이 있다.

취약점 정보가 어느 경로로 흘러가는가

취약점이 발견되는 순간 공격 코드가 빠르게 개발되고 실제 공격으로 이어지는 환경에서는, 취약점 정보가 어떤 경로로 흘러가는지가 더욱 중요해진다. 취약점 발견자는 대체로 두 가지 선택지를 갖는다. 하나는 기업이나 기관에 신고해 패치를 유도하는 합법적 경로이고, 다른 하나는 exploit(악성코드 실행) 브로커나 다크웹 시장에 판매하는 비공식 경로이다.

CVD와 VDP는 바로 이 갈림길에서 취약점이 합법적인 연구와 대응 체계 안으로 들어오도록 만드는 제도적 장치다. 이런 제도가 없거나 신뢰를 얻지 못하면 취약점 정보는 자연스럽게 underground 시장으로 이동하게 된다.

공개 절차가 아니라 협력 거버넌스

또한 오늘날의 디지털 시스템은 복잡한 공급망 구조 위에서 작동한다. 하나의 취약점이 오픈소스 라이브러리, 클라우드 플랫폼, 애플리케이션 등 여러 계층에 동시에 영향을 미치는 경우도 많다. 이러한 환경에서는 취약점 정보를 공유하고 대응을 조율하는 협력 구조가 필수적이다.

협력적 취약점 공개 제도는 바로 이러한 협력의 최소한의 규칙을 제공한다. 다시 말해 CVD는 단순히 취약점 정보를 공개하는 절차라기보다, 취약점 대응을 위한 협력 거버넌스를 형성하는 제도라고 볼 수 있다.

연구 생태계를 지키는 세이프 하버

더 중요한 점은 이른바 ‘취약점 연구 생태계’를 보호하는 역할이다. 취약점 연구는 본질적으로 공격 기술과 동일한 도구를 사용한다. 취약점 검증 과정에서는 exploit 코드를 작성하거나 실제 시스템을 테스트하는 행위가 포함될 수밖에 없다.

이런 활동이 법적 위험에 노출되어 있다면 연구자들은 취약점 분석을 기피하거나 underground 시장으로 이동할 가능성이 커진다. 따라서 CVD·VDP 정책에서 핵심은 단순한 신고 절차가 아니라 선의의 연구 활동을 보호하는 안전장치, 즉 ‘세이프 하버(safe harbor)’를 명확히 하는 것이다.

공개만으로 공격을 막던 시대는 지났다

다만 앞에서의 연구결과가 보여주듯 취약점 공개만으로 공격을 예방할 수 있는 시대는 이미 지나가고 있다. 따라서 앞으로의 정책은 취약점 공개 제도를 보다 넓은 보안 체계 속에서 설계할 필요가 있다.

취약점 공개와 동시에 탐지 규칙이나 완화 조치를 제공하는 ‘방어 연계 공개(defense-coordinated disclosure)’ 방식이 필요하며, 어떤 취약점이 실제로 공격에 활용되고 있는지를 분석하는 exploit intelligence 체계도 함께 구축돼야 한다. 또한 최근 AI 기반 공격이 확산되는 환경에서는 AI 모델과 에이전트 시스템에서 발생하는 새로운 유형의 취약점까지 CVD 범주에 포함하는 정책적 확장도 요구된다.

제도의 역할이 달라지고 있다

결국 취약점 공개 제도의 역할은 과거와 달라지고 있다고 봐야 한다. 과거에는 취약점 공개가 공격을 예방하는 핵심 수단으로 이해됐다면, 지금은 취약점 생태계를 합법적인 연구와 대응 체계 안에서 관리하는 거버넌스 장치로서의 의미가 더 커지고 있다. 공격 속도가 빨라졌다고 해서 취약점 공개 제도가 무의미해지는 것은 아니다. 오히려 exploit 시장이 확대되고 공격 자동화가 진행되는 환경일수록 취약점 정보가 합법적인 경로로 유입될 수 있도록 하는 제도적 기반이 더욱 중요해진다는 것이다.

따라서 앞으로 CVD·VDP 정책을 추진하는 과정에서 이같은 연구결과를 취약점 공개 제도의 실패 및 한계로 성급하게 해석할 필요는 없다고 본다. 오히려 이러한 연구결과는 취약점 공개 정책이 단독으로 작동할 수 없다는 점, 그리고 취약점 공개를 중심으로 exploit 정보 분석, 실시간 보안 대응, 공급망 가시성 확보 등 다양한 정책 수단을 결합해야 한다는 점을 보여주는 지표로 이해하는 것이 타당하다. 이런 방향에서 제도가 설계된다면 CVD와 VDP는 단순한 취약점 신고 절차를 넘어, AI 시대 사이버보안 거버넌스를 구성하는 핵심 인프라로 자리 잡을 수 있을 것이다.

연구결과 출처: https://zerodayclock.com