가트너 “AI 취약점 스캔 서비스, ‘프론티어 모델’ 간판만 믿으면 안 돼”

가트너는 미토스(Mythos) 등 프론티어 인공지능(AI) 모델을 내세운 취약점 점검 서비스를 도입하기 전에 실제 사용 모델과 점검 범위, 데이터 처리 방식을 확인해야 한다고 강조했다.

가트너는 22일 발간한 ‘프론티어 AI 취약점 점검을 위한 미토스 공급업체 주장 평가 방법(How to Evaluate “Mythos” Vendor Claims for Frontier AI Vulnerability Scanning)’ 보고서에서 일부 보안기업이 제한적으로 제공되는 프론티어 AI 모델에 대한 시장의 관심을 영업에 활용하고 있다고 분석했다.

앤트로픽의 미토스와 오픈AI의 GPT-5.5-Cyber 같은 모델은 소스코드에 접근할 수 있을 때 취약점 탐지 효율을 높였다. 다만 모델 공급사가 사용 대상을 제한하고 있어 실제 접근할 수 있는 조직은 많지 않다.

가트너는 이런 희소성과 공급사의 홍보가 기업 경영진의 관심을 키웠다고 봤다. 프로젝트 글래스윙(Project Glasswing)이나 데이브레이크(Daybreak) 같은 제한적 접근 프로그램에 참여한 보안기업은 이를 바탕으로 ‘프론티어 AI 점검’ 서비스를 내놓고 있다.

문제는 서비스마다 실제 기능과 사용 모델이 다르다는 점이다. 최신 프론티어 AI 모델을 사용하는 대신 이전 세대 모델이나 기업이 직접 이용할 수 있는 상용 모델을 사용할 수도 있다. AI 모델은 취약점 분석이 아니라 보고서 작성 과정에만 쓰일 가능성도 있다.

가트너는 해당 서비스를 ▲외부 공격표면 점검 ▲인프라 구성과 내부 보안 상태 점검 ▲애플리케이션·소스코드 점검 등 3가지로 분류했다.

외부 공격표면 점검은 인터넷에 노출된 서버나 서비스, 알려지지 않은 자산을 찾고 개선 방안을 제시한다. 인프라 점검은 시스템 설정을 공급사의 보안 권고안과 비교하는 데 초점을 맞춘다. 애플리케이션·소스코드 점검은 고객의 자체 코드에 대규모언어모델(LLM)을 적용해 취약점을 찾는 방식이다.

보고서는 사례 기업으로 크라우드스트라이크(CrowdStrike), 지스케일러(Zscaler), 시스코(Cisco), 팔로알토네트웍스(Palo Alto Networks)를 제시했다. 다만 특정 기업의 모든 서비스가 같은 모델이나 점검 방식을 사용한다는 의미는 아니라고 설명했다.

가트너는 현재 공급업체가 제공하는 점검 서비스를 완전한 에이전틱 애플리케이션 보안 테스트로 보기는 어렵다고 평가했다. 에이전틱 테스트는 AI 에이전트가 여러 보안 도구를 사용해 취약점 탐색과 검증을 반복하는 방식이다. 장기간 모델을 활용해온 전문 보안팀의 점검과 비교하면 현재 서비스에는 필요한 기능과 운영 경험이 부족할 수 있다는 분석이다.

최고정보보호책임자(CISO)는 도입 전에 실제 사용 모델과 공급사의 운영 경험을 확인해야 한다. 소스코드를 외부로 전송해야 하는지, 데이터가 어디에서 처리·보관되는지, 모델 학습에 사용되는지도 점검할 필요가 있다.

점검 결과를 어떻게 활용할지도 미리 정해야 한다. 새로운 취약점을 많이 찾더라도 우선순위가 낮거나 현실적으로 수정할 수 없다면 보안 운영 부담만 늘어날 수 있다. 결과 보고서가 해당 공급사의 제품이나 추가 라이선스 구매를 권고하는 데 집중돼 있는지도 살펴야 한다.

가트너는 계약 전 다른 기업에 제공된 결과물 견본을 확인하라고 권고했다. 기존 보안 도구보다 구체적인 우선순위를 제시하는지, 단순히 ‘업그레이드’나 ‘패치’를 요구하는 수준을 넘어 실행 가능한 조치 방안을 제공하는지가 판단 기준이다.

무료 점검도 시간과 인력을 투입해야 한다. 가트너는 “이미 사용 중인 보안 제품과 절차에 비슷한 기능이 포함돼 있을 수 있다”며 “프론티어 AI라는 이름보다 새롭게 발견한 취약점과 실제 개선 결과를 기준으로 가치를 평가해야 한다”고 강조했다.

가트너는 2028년까지 애플리케이션 보안 테스트 프로그램을 운영하는 조직의 50%가 정적 애플리케이션 보안 테스트(SAST)에 에이전틱 보안 테스트를 결합할 것으로 전망했다. SAST는 프로그램을 실행하지 않고 소스코드를 분석해 취약점을 찾는 방식이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network