AI가 앞당긴 제로데이, 사이버보안 도구는 어떻게 바뀌나

AI가 앞당긴 제로데이, 사이버보안 도구는 어떻게 바뀌나

AI 뉴스 썸네일

취약점이 공개된 뒤 패치를 준비하던 시간표가 무너지고 있어요. Insight Partners는 공격 자동화가 빨라진 환경에서 보안팀의 역할과 제품 구조가 함께 달라질 것으로 봤어요. 보안 담당자가 여러 화면을 오가는 대신, 에이전트가 API와 MCP로 도구를 연결하고 사람이 정책과 우선순위를 관리하는 구조예요. 1

핵심 요약

구분	핵심	왜 볼만한가요
공격 속도	취약점 공개 전에 악용이 시작되는 사례가 늘고 있어요	패치 주기보다 노출 탐지와 우선순위 판단 속도가 더 중요해져요
보안 운영	분석가는 도구 화면을 직접 다루는 일보다 에이전트의 권한과 결과를 관리하게 돼요	자동화가 늘수록 승인 경계와 감사 기록을 함께 설계해야 해요
제품 구조	보안 SaaS가 API와 MCP 중심의 헤드리스 구조로 이동하고 있어요	개별 제품 UI보다 여러 도구를 묶는 관리 화면의 가치가 커질 수 있어요
경쟁 구도	엔드포인트·신원·인증서 같은 제어 지점은 방어력이 높고, 단순 분석·보고 기능은 대체 압력을 받아요	보안 제품을 고를 때 기능 수보다 데이터와 제어 권한을 봐야 해요

1. 보안팀이 패치 전에 공격을 마주하는 시대

Insight Partners가 2026년 7월 공개한 글은 Zero Day Clock 수치를 인용해 평균 악용 소요 시간인 TTE가 `-9시간`까지 짧아졌다고 설명해요. 음수는 취약점 정보가 공개되기 9시간 전부터 악용이 관측됐다는 뜻이에요. 공개 전 제로데이 상태에서 악용되는 취약점 비중도 약 5년 전 30%에서 현재 80% 이상으로 늘었다고 적었어요. 이 수치는 모든 취약점의 보편적인 평균이라기보다 글이 인용한 추적 자료의 범위에서 읽어야 해요. 2

패치 속도만으로는 부족해요

공개된 취약점 목록을 확인한 뒤 정기 점검 때 패치하는 방식은 선제공격에 대응하기 어려워요. 보안팀은 인터넷에 노출된 자산, 공격자가 실제로 도달할 수 있는 경로, 계정 권한을 함께 봐야 해요. 같은 심각도 점수를 받은 취약점도 외부 노출 여부와 자산의 중요도에 따라 대응 순서가 달라져요.

728x90

AI는 이 판단을 빠르게 만드는 데 쓸 수 있어요. 자산 목록과 탐지 로그를 모으고, 공격 경로를 계산하고, 복구 후보를 정렬하는 작업을 자동화할 수 있어요. 다만 에이전트가 차단이나 계정 정지까지 실행한다면 사람이 승인할 범위와 자동 실행할 범위를 먼저 나눠야 해요. 잘못된 판단 하나가 정상 업무를 멈출 수 있어서예요.

여러 보안 화면이 하나의 통합 관리 화면으로 모여요

원문은 보안 SaaS가 사람이 화면을 클릭하는 제품에서 에이전트가 API로 사용하는 헤드리스 제품으로 이동한다고 봤어요. MCP 서버나 전용 커넥터를 두면 에이전트가 클라우드 보안, 엔드포인트 탐지, 신원 관리 도구에서 필요한 정보를 직접 가져올 수 있어요. 보안 담당자는 제품별 대시보드를 옮겨 다니기보다 한 관리 화면에서 조사 결과와 대응 상태를 확인하게 돼요. 2

이 구조에서는 연결 권한이 곧 공격 표면이 돼요. 에이전트가 읽을 수 있는 데이터, 실행할 수 있는 명령, 다른 시스템으로 넘길 수 있는 정보를 세분화해야 해요. 호출 기록과 변경 이력을 남기지 않으면 사고가 났을 때 자동화가 어떤 결정을 내렸는지 되짚기 어려워요. 편리한 통합만큼 최소 권한과 감사 가능성이 중요해요.

데이터·관리·제어 플레인으로 역할이 나뉘어요

원문이 제안한 차세대 보안 스택은 세 층으로 나뉘어요. 데이터 플레인은 로그와 보안 맥락을 저장하고 분석해요. 관리 플레인은 여러 에이전트를 조율하고 정책, 보고, 공통 맥락을 맡아요. 제어 플레인은 방화벽, EDR, 신원 제공자, CNAPP, 이메일 보안처럼 실제 차단과 집행을 담당해요.

이 구분은 제품의 대체 가능성을 판단할 때 유용해요. 엔드포인트 센서나 인증 인프라처럼 시스템 깊숙이 설치돼 고유 데이터를 모으고 직접 통제하는 제품은 교체 비용이 많이 들어요. 반면 이미 모인 데이터를 요약하거나 정해진 보고서를 만드는 기능은 기업이 자체 에이전트로 구현할 여지가 있어요. 기존 보안 SaaS도 화면의 기능 수보다 데이터 품질, 개방형 인터페이스, 세밀한 권한 제어를 더 분명하게 보여줘야 해요.

왜 중요한가요

AI 보안 도입의 첫 질문은 어떤 모델을 쓸지가 아니에요. 에이전트가 어떤 데이터에 접근하고 어디까지 조치할 수 있는지 정하는 일이 먼저예요. 읽기 전용 조사부터 시작하고, 격리·차단·계정 중지처럼 영향이 큰 작업에는 승인 단계를 두는 편이 안전해요. 모든 호출에는 입력 데이터, 판단 근거, 실행 결과를 남겨야 해요. 2

제품을 도입할 때도 대시보드의 화려함보다 API 범위와 권한 모델을 확인할 필요가 있어요. 에이전트용 인터페이스가 있어도 테넌트 경계, 비밀 정보 처리, 속도 제한, 실행 취소, 감사 로그가 약하면 운영 위험이 커져요. 여러 보안 도구를 하나로 묶을수록 관리 플레인에 장애와 권한이 집중된다는 점도 봐야 해요.

원문은 보안 기업에 투자하는 Insight Partners의 산업 전망이에요. 언급된 기업과 제품에는 투자사의 관점이 반영될 수 있어요. 제시된 스택을 확정된 표준으로 보기보다, 보안팀의 업무가 도구 조작에서 정책·권한·에이전트 감독으로 이동할 때 무엇을 준비할지 점검하는 틀로 읽는 편이 적절해요.

참고 자료

1. AI가 재편하는 차세대 사이버보안 스택 — GeekNews
2. The Next Stack: The future of AI in cybersecurity — Insight Partners