AI 안전성 - 유럽연합 사이버보안청(ENISA), 사이버 보안 전략 전환

https://www.enisa.europa.eu/publications/enisas-view-on-cybersecurity-in-the-frontier-ai-era

2026.07.07
[ENISA’s view on Cybersecurity in the Frontier AI Era]

이 보고서는 유럽연합 사이버보안청(ENISA)이 발간한 것으로, 프런티어 AI 모델의 급격한 발전이 불러온 새로운 보안 위협과 이에 대응하기 위한 유럽 차원의 전략적 지침을 다루고 있습니다. 핵심 주제는 AI가 취약점 발견부터 실제 공격까지의 주기를 대폭 단축함에 따라 발생하는 기계 속도의 위협이며, 이를 극복하기 위해 인간 중심의 절차적 한계를 넘어선 자율 패치 및 실시간 탐지 체계
로의 전환을 강조합니다. 본문은 취약점 관리의 경제성 변화와 기술적 부채 등 7가지 구조적 과제를 분석한 후, 전용 AI 방어 도구 도입과 제로 트러스트 아키텍처 강화를 포함한 구체적인 권고안을 제시합니다. 궁극적으로 이 문서는 정책 입안자와 보안 전문가들이 AI 시대에 걸맞은 회복력 있는 디지털 생태계를 구축할 수 있도록 돕는 포괄적인 로드맵 역할을 수행합니다.

 

목차:

① Executive Summary

② Impact on Vulnerability & Patch Management

③ Security fundamentals matter more than ever

④ The way ahead: building AI-resilient defences (권고사항 포함)

 

① Executive Summary
프론티어 AI 모델은 취약점 발견부터 공격까지 이어지는 사이클을 압축시켜 기존 보안 패러다임에 도전하고 있으며, 오픈웨이트 모델도 9~12개월 내 유사한 수준의 역량에 도달할 것으로 전망된다. 이해관계자 협의에서는 패치 전 익스플로잇 유출(negative time-to-exploit), 레거시 시스템 문제 심화, 패치 빈도 증가로 인한 서비스 중단 우려, 오픈소스 유지관리자의 취약점 신고 과부하 방지 필요성, EU 경제의 근간인 중소기업(SME) 지원 필요성 등이 제기됐다.

 

② Impact on Vulnerability & Patch Management
발견~익스플로잇 간 간격(Window of Exposure)이 수년에서 수개월, 이제는 수시간~수분 단위로 좁혀지고 있으며, 공격자는 취약점 공개 후 15분 내 무기화하고 초기 침투~데이터 탈취까지 중간값 72분이 걸린다는 업계 데이터가 인용된다.

8대 구조적 과제로 제시된 것은 다음과 같다:

(1) 속도 비대칭/승인 공백: 병목이 기술이 아니라 변경관리위원회(CAB)의 승인 절차에 있다는 지적
(2)취약점 발견의 경제적 가치 하락: 산업화로 신고량 급증 (한 기업 사례: 2025년 1분기 약 80건이던 CVE가 2026년 1분기 500건 가까이, AI 도구 도입 후에는 하루 500건 수준까지 증가)
(3)기술부채: 레거시 시스템, 단 "방어 불가능"은 아님
(4)검증 병목/신뢰성 위기: 오탐은 줄어도 '진짜' 신고량이 검증 부담을 키움
(5)N-Day 무기화: 패치 diff 분석을 통한 노출 지속
(6)시큐어 SDLC 혁신: 사후 대응 → 설계 단계 보안 내재화
(7)AI 생성 취약점 신고 폭증: curl은 유지관리자가 신고량을 감당하지 못해 2026년 1월 조정된 취약점 공개(CVD) 프로그램을 중단했다
(8)내부 침투(Inside-Out) 공격: 공급망을 통해 경계를 우회해 내부로 직접 진입

 

③ Security fundamentals matter more than ever
4개 영역으로 구성: 

(1) 취약점 관리(자율 패치의 필요성 vs 오작동 위험), 

(2) 사고 대응 — 한 조사에 따르면 침해의 75%에서 이상행위를 감지할 로그는 존재했지만 여러 도구에 파편화돼 있어 활용되지 못했다, 

(3) 제품보안 — CRA 대응·SBOM·보안 첨부(attestation), 

(4) 인재/인적 자본. 의무 사고 신고 대상 확대로 신고량이 급증하면서 국가 CSIRT의 대응 역량을 넘어설 위험도 지적된다.

 

④ The way ahead: building AI-resilient defences (권고사항)
EU 차원: NIS2·CRA·AI Act 활용, AI 모델 보안성 평가를 위한 EU 공통 벤치마크(사이버 레인지, 익스플로잇 가능성 지표 등) 마련, 사이버보안 데이터의 전략자산화

국가 당국: AI 기반 위협 헌팅, zero-trust 기준 감사, 도구 통합, 사람 개입형(human-gated) 거버넌스 체계

방어자(기업): breach-assumed 원칙, AI를 활용한 상시 위협모델링, 동적 사고대응 파이프라인, 분 단위 MTTD/MTTR 목표, zero-trust 세분화 가속