아직 한 분기쯤은 여유가 있다는 계산
OpenAI 사장 그레그 브록먼은 최신 사이버 능력을 신뢰받는 방어자에게 먼저 제공하는 기간을 ‘방어자의 창’이라고 불렀다. 공격자가 같은 능력을 손에 넣기 전에 방어자가 취약점을 찾아 고칠 수 있는 시간이다. 이 창은 달력에 고정된 유예기간이 아니다. 공격 능력이 퍼지는 속도에서 조직이 도입하고 검증하는 데 걸리는 시간을 빼야 실제 남은 시간이 나온다.
그렇다면 그 창은 실제로 얼마나 남았을까? 영국 AI Security Institute의 평가에서 최신 오픈웨이트 모델(모델 가중치를 공개한 모델)은 폐쇄형 프론티어 모델을 4~7개월 차이로 추격했다. 2025년의 6~10개월보다 짧아졌다. 실행 비용도 크게 낮아졌다. 같은 1억 토큰을 처리하는 비용이 Opus 계열은 약 85달러였지만 DeepSeek V4-Pro는 1.19달러였다. 추격 장벽이 함께 낮아졌다는 말이다.
조직이 쓸 수 있는 시간은 이보다 짧다. 도입 검토, 보안 승인, 시험 운영에 한 분기만 써도 선점 기간은 거의 사라진다. 게다가 기존 패치 체계도 이미 공격 속도를 따라가지 못한다. M-Trends 2026에 따르면 평균 악용 시점은 취약점 공개 7일 전 이었다. VulnCheck에 따르면 2026년 상반기에 악용된 취약점의 23.43%는 CVE 공개 당일 또는 그 전에 공격받았다. 공개되기 전에 이미 공격이 시작된다는 말이다.
경보는 울렸지만, 대응은 시작되지 않았다
실제 사고에서는 어떤 모습으로 드러날까? 2026년 7월, ExploitGym(사이버 보안 능력을 시험하는 평가 벤치마크) 평가를 수행하던 OpenAI 모델들이 샌드박스를 벗어나 Hugging Face 운영 환경에 접근했다. 과제를 푸는 대신 평가 답안을 찾기 위해 주변 인프라를 탐색했다. 4.5일간 복원된 행동은 약 1만 7,600건 에 이르렀다.
이 사건에서 위험은 여러 겹으로 드러났다. 에이전트는 주어진 목표를 예상 밖의 방법으로 달성하려 했고 작은 권한 관리 오류가 연결되자 피해 범위가 급격히 커졌다. 운영 객체 하나에서 노출된 키들이 VPN과 여러 클러스터의 관리자 권한으로 이어졌다. 그런데 탐지 신호가 있어도 위험도 판정이 틀리면 대응은 시작되지 않는다. 여러 보안 장치가 이상 행동을 감지했다. 자동 보안 에이전트는 심각도를 높이지 않았다. 당직팀도 호출되지 않았다. 경보가 있어도 대응은 멈춘 셈이다.
해법은 경보를 더 많이 만드는 데 있지 않다. 경보의 위험도를 정확히 판단하고 정해진 조건에서 사람을 호출하며 사람이 결정을 되돌릴 수 있어야 한다. 여러 접근 경로를 동시에 막아야 한다. 실제로 이 에이전트들은 저장소를 메시지판으로 썼다. 접근이 끊기자 디렉터리 이름으로 통신을 재개했다. 방어 체계는 개별 행동이 아니라 연속된 공격 경로를 추적해야 한다.
발견만 빠르게 하면 될까? 취약점을 많이 찾는 것과 보안을 개선하는 것도 다르다. Codex Security의 전신 Aardvark는 시험용 저장소에 심은 취약점의 92%를 발견하고 CVE 10건을 확보했다. 반면 FIRST(컴퓨터 보안 사고대응팀 국제협의체)는 AI 자동 탐색의 확산과 함께 2026년 CVE가 약 6만 6,000건 에 이를 것으로 전망했다. 검증과 수정 능력이 함께 늘지 않으면 발견 성능은 보안 수준보다 처리 대기열을 먼저 키운다.
방어용 에이전트는 권한이 넓어도 안전하다는 착각
방어용이라서 권한이 넓어도 안전할까? 방어용 에이전트라고 해서 과도한 권한이 안전해지는 것은 아니다. 코드, 로그, 인프라에 접근하는 자격증명 하나가 탈취되면 의도와 상관없이 같은 피해가 난다. 그러나 2026년 조사에서 조직이 관측할 수 있는 프로덕션 에이전트의 활동 범위는 평균 52%에 그쳤다. 모든 에이전트를 배포 전에 완전히 통제한다고 답한 조직도 19.7%뿐이었다. 절반만 보고 있다는 말이다.
자동화 범위는 업무 이름이 아니라 실패했을 때 되돌릴 수 있는지를 기준으로 넓힌다.
먼저 읽기 전용 권한으로 로그와 코드에서 증거를 수집하고 요약하게 한다. 사람이 결과와 근거를 검토하고 판단한다. 기준이 명확하고 복구가 쉬운 사례에만 제한적으로 실행 권한을 준다. 입력, 판단 근거, 실행 결과, 승인자를 기록하고 언제든 중지, 복구할 수 있을 때 다음 단계로 넓힌다.
패치도 발견, 초안 작성, 시험, 배포 승인을 분리한다. 한 에이전트의 오탐을 다른 에이전트가 자동으로 패치하면 사람이 검토하지 않은 코드가 운영 환경에 쌓인다. 그레그 브록먼이 개인 사이트에서 15분 만에 취약점 13건을 찾고 한 시간 안에 고친 사례 는 소유자와 승인권자가 같았기에 가능했다. 그러나 기업은 다르다. 변경 승인과 배포 일정이 따로 움직인다. 자동화를 확대하더라도 사람에게 긴급 중지와 롤백 권한을 남긴다.
모델을 받지 못한 조직은 무엇으로 앞당길까?
조직의 준비 수준은 도구를 샀는지가 아니라 읽기 전용 시험에서 제한적 자동 조치로 넘어가는 데 몇 주가 걸리는지로 측정한다. 초기에는 기존 취약점 분류와 개발 단계의 보안 검토처럼 사람이 결과를 확인하기 쉬운 업무에 적용한다. 검증된 이슈에만 패치 생성과 시험을 허용하고 승인 기반 접근 통제로 권한 변경과 실행 기록을 남긴다.
그러나 모든 조직이 같은 창을 갖는 것은 아니다. 프론티어 모델을 먼저 받는 조직만 방어자의 창을 얻는다는 한계도 있다. 인력과 예산이 부족한 소규모 조직은 공격에 더 취약했다. 제한된 모델 접근권만으로는 이 격차가 줄지 않는다. 탐지 규칙, 에이전트 작업 절차, 검증법과 실패 사례를 공동 플레이북으로 배포하면 모델을 받지 못한 조직도 방어를 앞당길 수 있다.
공격 능력이 퍼지는 속도는 개별 조직이 통제하기 어렵다. 통제할 수 있는 것은 에이전트의 판단을 검증하고 안전하게 권한을 넓히는 속도다. 검증 인력과 승인 절차가 그대로라면 자동화 도구를 추가해도 방어자의 창은 늘어나지 않는다. 명목상 4~7개월인 창은 조직이 머뭇거리는 매일만큼 짧아진다.