시간과의 싸움을 벌이는 AI
취약점은 더 많이 발견되고, 더 빨리 발견되며, 더 빨리 악용됩니다.
전 세계 CVE 급증
72,812
2026년 9월까지 공개된 CVE 건수는 이미 2025년 전체보다 51% 더 많다
상용화까지 소요되는 시간 단축
−7일
2025년의 평균 취약점 악용까지 소요되는 시간: 현재 공격은 평균적으로 패치가 출시되기 전에 시작된다
CRA가 기대하는 사항
제조업체는 악용된 취약점을 인지한 지 불과 24시간 후부터 3단계에 걸쳐 ENISA와 자국의 CSIRT에 이를 통보해야 합니다.
24시간
조기 경보
첫 번째 경보: 추정 원인과 영향을 받은 국가
72시간
알림
취약점의 세부 정보, 영향을 받는 제품 및 취해진 완화 조치
14d
최종 보고서
수정 사항이 제공된 날로부터 14일 이내에, 심각도, 영향 및 시정 조치를 포함하여
24시간 이내에 보고할 준비가 되셨나요?
각 마감일을 맞추려면 신속한 답변이 필요합니다:
- 이것들은 단순한 잠재적 취약점이 아니라 실제 취약점인가요?
- 귀사의 제품에서 이를 활용하거나 적용할 수 있습니까?
- 확인된 해결 방법이 있나요, 아니면 빠르게 마련할 수 있나요?
CRA 취약점 관리의 미비점
CRA는 자체 코드, 타사 구성 요소, 오픈소스 라이브러리 등 제품에 존재하는 모든 취약점에 대해 개발자에게 책임을 지게 합니다. 이러한 의무는 법으로 명시되어 있는 반면, 이에 수반되는 업무량은 계속 늘어나고 있습니다.
더 많은 코드, 더 빠른 출시
AI 기반 개발은 더 많은 코드, 더 많은 종속성, 그리고 더 짧은 릴리스 주기를 의미합니다. 매 릴리스마다 새로운 자체 개발, 타사 및 오픈소스 구성 요소가 도입되며, 이에 따라 보안 취약점이 발생할 가능성도 커집니다.
우선순위를 정하기 어렵다
악용 가능성에 대한 증거가 없는 상황에서, 심각도 점수만으로는 우선순위 결정에 영향을 미칩니다. 팀들은 사소한 문제에 에너지를 쏟는 동안, 진정한 위험은 방치된 채로 남아 있습니다.
위험에 대한 증거 없음
스캐너는 수천 건의 발견 사항을 표시하지만, 해당 취약점이 접근 가능한지, 악용 가능한지, 그리고 귀사의 제품과 관련이 있는지는 거의 보여주지 않습니다.
간소화된 감사 추적 기록
내부 코드와 외부 구성 요소는 대개 별도의 워크플로우로 관리되며, 관련 결정 사항들은 티켓, 채팅, 스프레드시트 등 여러 곳에 흩어져 있습니다. 24시간 또는 72시간 이내에 추적 가능하고 감사에 대비할 수 있는 증거 자료를 마련하는 것은 거의 불가능에 가깝습니다.
개발 주기에 통합된 AI 기반 취약점 수정
Keysight AI Analysis for CRA는 취약점 관리 기능을 갖춘 AI 기반 코드 분석 서비스로, 취약점의 전체 수명 주기를 자동화합니다. 키사이트의 보안 전문성을 바탕으로 구축된 당사의 독자적인 AI 기반 프레임워크는 취약점을 식별하고, 해당 취약점이 악용될 수 있는지 테스트하며, 수정 방안을 제안하고 검증하며, 모든 단계를 문서화합니다.
주요 기능
지능형 분류
SBOM을 기반으로 CVE 및 SAST 분석 결과를 선별하고, 오탐을 걸러낸 뒤 악용 가능한 위험을 최우선 순위로 매깁니다.
검증된 해결 방법
샌드박스에서 모든 수정 사항을 빌드, 테스트 및 검증하여 취약점이 해결되었는지 확인합니다.
접근성 분석
실제 운영 환경의 진입점을 통해 어떤 취약점에 실제로 접근하여 악용할 수 있는지 보여줍니다.
CRA 증거
취약점 처리, 조정된 공개, 사고 보고 및 적합성 평가를 위해 추적 가능하고 감사에 대비된 기록을 생성합니다.
- 신입 사원 오리엔테이션
- 초기 평가
- AI 분석 및 검증
- 결과 검토
- 회고전
신입 사원 오리엔테이션
소스 코드 저장소 및 환경 정보에 대한 접근 권한을 공유해 주시면 됩니다. 당사는 바이너리가 아닌 소스 코드를 분석하기 때문에, 모든 분석 결과는 정확한 줄 번호를 가리키며, 수정 사항은 병합 준비가 완료된 패치 형태로 제공됩니다.
초기 평가
키사이트는 본격적인 분석을 진행하기 전에 고객과 함께 필수 요건을 평가하고 해결해야 할 과제를 해결합니다.
AI 분석 및 검증
당사의 프레임워크는 SCA 데이터를 수집하고 AI 기반 SAST를 실행한 뒤, 샌드박스를 생성하여 접근 가능성과 악용 가능성을 테스트하고 각 패치를 검증합니다.
결과 검토
귀사의 팀과 키사이트는 조사 결과, 패치 결과 및 시정 조치 권고 사항을 함께 검토합니다.
회고전
저희는 서비스 제공의 사각지대를 파악하고, 향후 개선을 위한 피드백을 수집합니다.
모든 옵션은 단일 통합 AI 워크플로우 내에서 자체 개발 코드, 타사 코드 및 오픈소스 코드를 모두 지원하며, CI/CD 파이프라인 통합 기능도 곧 제공될 예정입니다.
귀하의 IP는 귀하의 것입니다
귀사의 소스 코드는 가장 소중한 자산입니다. 저희는 이를 그 가치에 걸맞게 소중히 다룹니다.
- 클라우드에 데이터를 전송하지 않고 오프라인 AI 서버에서 프로젝트를 호스팅합니다.
- 지역별 규정 준수 요건에 부합하는 AI 모델을 선택하세요
- AI 클라우드 서비스 제공업체에서 실행할 수 있는 옵션
- 고객 데이터에 대한 교육 없음
자주 묻는 질문
현재 악용되고 있는 취약점 및 중대한 사고에 대한 보고 의무는 2026년 9월 11일부터 적용됩니다. 취약점 처리 및 SBOM을 포함한 나머지 요건들은 2027년 12월 11일부터 적용됩니다.
아닙니다. AI가 패치를 제안하고 샌드박스에서 이를 검증합니다. 중요한 패치는 코드베이스에 반영되기 전에 반드시 사람의 검토를 거칩니다.
아닙니다. 프로젝트는 오프라인 AI 서버에서 실행될 수 있으며, 사용자의 데이터는 모델 훈련에 절대 사용되지 않습니다.
귀사는 이미 자사 제품에서 접근 가능하고 악용될 수 있는 취약점이 무엇인지 파악하고 있으며, 모든 발견 사항에 대해 추적 가능한 기록이 마련되어 있습니다. 새로 악용된 취약점이 발견되면, 그 영향을 신속하게 평가하고 증거를 바탕으로 보고할 수 있습니다.
분석 결과는 우선순위가 지정된 Jira 티켓이나 스프린트 항목 등의 형태로 기존 워크플로에 반영됩니다.
자사 제품 중 하나를 대상으로 한 개념 검증(PoC)을 통해 진행됩니다. 이는 앞서 언급한 5단계 과정을 따르며, 결과에 대한 회고로 마무리됩니다.