해커원이 240만명 해커와 협력하는 방법

존 아데오(John Addeo) 해커원 부사장 방한 인터뷰

인공지능(AI)이 취약점을 찾아내는 속도가 빨라지면서 기업의 고민도 달라지고 있다. 이제는 취약점을 많이 찾는 것만으로는 부족하다. 수많은 제보 가운데 실제 공격에 활용할 수 있는 문제를 가려내고, 심각한 취약점부터 고치는 체계가 더욱 중요해지고 있다.

글로벌 버그바운티 기업 해커원(HackerOne)은 이 과정에 약 240만명의 화이트해커(외부 연구자)와 AI를 함께 활용한다. 해커원은 외부 연구자가 찾아낸 취약점을 그대로 기업에 전달하지 않는다. 먼저 실제 공격이 가능한지 검증하고 중복 신고를 걸러낸다. 기업이 문제를 고친 뒤에는 다시 같은 공격을 시도해 조치 여부까지 확인한다.

존 아데오(John Addeo) 해커원 부사장은 바이라인네트워크와의 인터뷰에서 “AI 모델이 취약점을 찾고 이를 공격에 활용하는 방법을 만들어내는 속도가 계속 빨라지고 있다”며 “우리는 기존 방식의 취약점 관리에서 AI가 이끄는 새로운 환경으로 넘어가는 변곡점에 있다”고 강조했다.

아데오 부사장은 해커원에서 글로벌 채널과 전략적 파트너를 통한 시장 진출을 맡고 있다. 네트워크·사이버보안 분야에서 25년 넘게 일했다. 이번에는 국내 고객·파트너를 만나기 위해 한국을 찾았다.

240만명이 찾은 취약점, 그대로 기업에 넘기지 않는다

해커원과 협력하는 약 240만명의 연구자 커뮤니티의 힘은 규모에만 있지 않다. 연구자의 국가와 전문 분야, 경험이 서로 다른 만큼 같은 서비스도 여러 공격자의 관점에서 살펴볼 수 있다는 게 아데오 부사장의 설명이다.

해커원은 240만명의 외부 연구자가 보낸 수많은 취약점 신고를 곧바로 기업으로 넘기지 않는다. 그 사이에는 ‘트리아지(Triage)’라는 시스템이 있어 중간자의 역할을 한다. 트리아지는 의료 현장에서 환자의 긴급도를 분류하는 것처럼, 들어온 취약점을 검토해 실제 문제가 있는지, 어느 정도 위험한지를 선별해준다.

만약 연구자가 특정 경로를 거쳐 기업 시스템에 침투할 수 있다고 신고하면 해커원 측에서 보고서에 적힌 과정을 다시 확인한다. 실제로 같은 공격을 재현할 수 있는지 살피고 유효하지 않은 신고는 걸러낸다. 여러 연구자가 같은 취약점을 신고했다면 먼저 정확하게 문제를 찾아낸 연구자가 누구인지도 확인한다.

기업이 취약점을 수정한 뒤에는 재검증도 이어진다. 처음 문제를 찾아낸 연구자가 다시 같은 공격을 시도해 취약점이 제대로 사라졌는지 확인하는 것이다.

아데오 부사장은 기업이 버그바운티에 참여할 연구자의 범위도 정할 수 있다고 설명했다. 필요하면 특정 국가 연구자로 범위를 좁힐 수도 있다. 국내 기관이나 기업이 해외 연구자의 시스템 접근을 부담스러워할 경우 한국 국적 연구자를 중심으로 프로그램을 구성하는 방식도 가능하다.

그는 “해커원이 240만명에게 기업의 시스템을 무작정 개방하는 방식이 아니다”라며 “누가 어디까지 점검할지 정하고, 발견한 문제를 검증한 뒤 기업이 조치할 수 있는 형태로 전달하는 운영 체계를 함께 제공하는 것이 해커원 플랫폼의 차별점”이라고 강조했다.

버그바운티는 ‘입력’, CTEM 플랫폼은 ‘두뇌’… 두 시스템을 하나로 연결

해커원은 버그바운티에서 찾아낸 취약점을 기업에 전달하는 데서 그치지 않는다. 발견한 문제가 실제 공격에 쓰일 수 있는지 검증하고, 위험도에 따라 우선순위를 정한 뒤 조치 여부까지 계속 확인한다.

해커원은 이런 과정을 지속적 위협 노출 관리(Continuous Threat Exposure Management·CTEM)라는 틀에서 운영하고 있다. 기업이 정기적으로 한 번씩 보안점검을 받는 대신 공격에 노출된 지점을 계속 찾아내고 줄여나가는 방식이다. 버그바운티와 CTEM을 하나의 플랫폼으로 연결했다.

아데오 부사장은 해커원의 에이치원 플랫폼(H1 Platform)을 여러 보안 프로그램에서 들어오는 정보를 처리하는 ‘두뇌’에 비유했다.

기업은 에이치원 플랫폼에서 버그바운티뿐 아니라 취약점 공개 정책(Vulnerability Disclosure Policy·VDP), 침투테스트, 코드 검토 같은 프로그램을 운영할 수 있다. 각 프로그램에서 발견한 취약점은 한곳으로 모이고, 이후 검증과 분석을 거쳐 어떤 문제부터 해결할지 정한다.

그는 “플랫폼이 없다면 결국 어마어마하게 많은 정보가 담긴 침투테스트 보고서를 받는 데서 그칠 수밖에 없다”며 “플랫폼에서 분석하고 연관관계를 확인하며 공격 과정을 재현할 수 있어야 한다”고 설명했다.

버그바운티를 예로 들면 외부 연구자가 점검한 결과가 플랫폼으로 들어오고, 해커원은 이를 검증한 뒤 기업의 취약점 관리 흐름에 연결한다. 지라(Jira), 서비스나우(ServiceNow), 슬랙(Slack) 같은 업무도구와 연결해 개발자나 담당 부서가 기존 업무 환경에서 취약점을 확인하도록 지원한다.

해커원이 꼽는 또 다른 차별점은 오랜 기간 축적한 데이터다. 아데오 부사장은 “10년 넘게 쌓은 과거 데이터가 있어 장기간에 걸쳐 위협과 연구자, 취약점의 관계를 연결해 볼 수 있다”며 “여기에 플랫폼 내부의 AI 역량을 결합하고 있다”고 말했다.

또한 해커원은 자체 AI 보안 에이전트인 하이(Hai)를 이용해 취약점 분석과 보고서 작성, 공격 과정 확인 등을 지원한다. 에이치원 플랫폼은 버그바운티와 VDP, 침투테스트, AI 레드팀, 코드 보안 등을 결합해 취약점을 발견하고 검증한 뒤 우선순위를 정해 조치로 연결한다.

최근에는 에이치원 리미디에이션(H1 Remediation)을 통해 발견한 취약점과 소스코드의 원인을 연결해 개발자가 참고할 수 있는 수정 방안도 제시하고 있다.

아데오 부사장은 “우리가 직접 수정하는 것이 아니라 수정 권고안을 제공한다”고 설명했다. 최종적인 코드 변경과 적용 여부는 기업이 결정한다.

AI가 취약점 많이 찾는 것이 능사는 아니다

AI가 취약점 탐색에 본격적으로 쓰이면서 평가 기준도 달라질 수 있다. 아데오 부사장은 “AI 기반 침투테스트 도구가 많은 취약점을 찾아내더라도 기업에 실제로 큰 영향을 미치는 문제를 찾았는지는 별도로 봐야 한다”고 강조했다.

그는 “일부 AI 기반 해킹 서비스의 경우, 발견한 결과의 양은 많지만 심각도가 낮은 경우가 많다”며 “앞으로는 양보다 가치가 중요해질 것”이라고 짚었다.

낮은 위험도의 취약점을 많이 찾는 것보다 실제 공격자가 악용할 수 있는 심각한 취약점을 찾아내는 능력에 더 무게를 둬야 한다는 것이다.

아데오 부사장은 “현재 AI 도구가 만들어낸 결과에도 검증이 필요하고 중복된 결과나 가치가 떨어지는 결과를 살펴봐야 한다”며 “AI가 업무를 더 빠르고 효율적으로 만들겠지만 사람이 가진 판단과 경험을 없애서는 안 된다”고 설명했다.

이어 그는 “AI가 해킹을 100% 자율적으로 하게 될지는 모르겠다”며 “5년 뒤에는 어떻게 달라질지 말할 수 없지만 현재 AI가 잘하지 못하는 영역 가운데 하나가 창의성이다. 해킹에는 상당히 예술적인 면도 있다”고 덧붙였다.

정해진 취약점 유형을 반복해서 찾는 작업에서는 AI의 역할이 커질 수 있다. 반면 여러 취약점을 연결해 예상하지 못한 공격 경로를 만들거나 기업의 사업 구조를 이해해 새로운 공격법을 찾는 작업에는 사람의 판단이 여전히 필요하다는 설명이다.

해커원은 현재 앤트로픽(Anthropic)의 프로젝트 글래스윙(Project Glasswing)에도 참여하고 있다. 클로드 미토스 5(Claude Mythos 5)를 해커원 내부 보안 인프라에 적용해 취약점 발견을 넘어 실제 악용 가능성 검증, 사업 영향에 따른 우선순위 판단, 개발자가 활용할 수정안 생성 등을 시험하고 있다. 적용 범위는 해커원의 자체 인프라와 솔루션으로 제한돼 있으며 고객 프로그램에는 적용하지 않고 있다.

국내 VDP·CVD 제도에 참고할 것은 ‘운영 체계’

해커원의 버그바운티, CTEM 플랫폼은 국내 취약점 신고·공개 제도에도 시사하는 바가 크다. 대통령직속 국가인공지능전략위원회는 올해 2월 ‘보안 취약점 신고·조치·공개 제도(CVD·VDP) 도입 로드맵’을 내놨다. 취약점 공개 정책(VDP)은 기업이나 기관이 외부 연구자에게 취약점을 신고받을 대상과 방법을 미리 정하는 제도다. 조정된 취약점 공개(Coordinated Vulnerability Disclosure·CVD)는 발견한 취약점을 곧바로 공개하기보다 기업이 고칠 시간을 확보한 뒤 신고자와 공개 시점을 조율하는 방식이다.

정부가 제도를 만들면서 살펴본 사례 가운데는 해커원도 포함돼 있다. 국가AI전략위원회는 제도 도입 전 전문가 논의 대상으로 ‘해커원’에게도 자문을 구했다. 해커원은 당시 정부 관계자들에게 버그바운티 플랫폼의 운영 구조와 경험을 설명했다고 밝혔다.

국내에서 참고할 지점은 ‘단순히 많은 화이트해커를 확보하는 것’에 그치지 않는다. 취약점을 신고할 수 있는 범위를 먼저 정하고, 기업과 연구자 사이에서 신고 내용을 검증할 주체가 필요하다. 같은 문제를 여러 명이 신고했을 때 중복을 정리하고 포상금을 지급할 기준도 있어야 한다. 기업이 취약점을 고친 뒤 실제 문제가 사라졌는지 다시 확인하는 절차까지 이어져야 한다.

외부 연구자가 안심하고 취약점을 찾을 수 있는 제도적 경계도 중요하다. 지금까지 국내에서는 기업의 명확한 허락 없이 시스템을 시험할 경우 보안 연구 목적이라도 법적 문제를 우려해야 했다. VDP는 기업이 허용할 대상과 행위 범위를 사전에 정해 연구자가 움직일 수 있는 선을 명확히 하는 역할을 할 수 있다.

아데오 부사장은 “한국 정부가 해커원에서 벤치마크할 수 있는 것은 플랫폼 하나보다 신고, 검증, 조치, 재검증을 연결하는 운영 방식”이라고 강조했다.

한국에서는 공격표면 큰 기업부터 공략

해커원은 한국에서 특정 산업이 아닌 전 산업을 공략할 계획이다. 대신 기술기업과 다국적 기업, 제조기업, 금융사, 공공기관, 대규모 온라인 서비스를 운영하는 기업을 우선 공략 대상으로 꼽았다.

이들 기업의 공통점은 외부 공격자가 노릴 수 있는 시스템과 서비스 범위인 ‘공격표면(Attack Surface)’이 넓다는 점이다.

아데오 부사장은 “모바일 앱이나 웹 앱, AI 앱처럼 공격표면이 큰 기업이 플랫폼과 파트너를 활용했을 때 효과를 크게 볼 수 있다”며 “대기업뿐 아니라 처음부터 AI나 클라우드를 기반으로 사업을 만든 기업도 주요 대상”이라고 했다. 이어 “국내에서도 버그바운티와 플랫폼 도입을 논의하거나 실제 계약으로 이어지는 사례가 늘고 있다”고 덧붙였다.

해외로 사업을 확대하는 국내 기업도 해커원의 주요 공략 대상이다. 아데오 부사장은 “해외에서 사업하는 한국 기업은 현지 법이나 규제에 따라 VDP 같은 프로그램 운영을 요구받을 수 있다”며 “규제가 이러한 프로그램을 요구하기 시작한다는 점도 중요하다. 이 부분에서도 해커원이 큰 역할을 할 수 있다고 본다”고 말했다.

해커원은 2012년 설립된 사이버보안 기업이다. 외부 보안 연구자와 기업을 연결하는 버그바운티 사업을 기반으로 성장했다. 현재는 에이치원 플랫폼을 중심으로 버그바운티와 VDP, 침투테스트, AI 레드팀, 코드 보안을 제공하며 AI와 보안 연구자를 결합한 CTEM 사업으로 영역을 넓히고 있다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network