AI 시대의 F5 NGINX 보안 강화

F5 ADSP | 2026년 7월 08일

최근 블로그에서, F5의 최고제품책임자(CPO)는 F5가 최첨단 AI를 활용해 소프트웨어의 보안을 강화하는 방법을 소개했습니다. 이 블로그에서는 스캔, 분류, 수정, 테스트 및 릴리스에 AI를 활용하는 접근 방식을 설명했습니다. 이는 일회성 작업이 아니라 문제를 더욱 신속하고 철저하게 발견하고 해결하기 위한 반복 가능한 운영 모델입니다.

이러한 접근 방식은 F5 NGINX에 중요한 시사점을 제공합니다.

NGINX는 현대 인터넷의 상당 부분에서 핵심 경로를 담당하고 있습니다. 전체 웹사이트의 약 3분의 1이 NGINX를 기반으로 운영됩니다. 가장 널리 사용되는 웹 서버, 리버스 프록시, API 게이트웨이 및 Kubernetes 인그레스 기술 중 하나인 만큼, 이러한 광범위한 영향력에는 막중한 책임이 따릅니다. 특히 보안 측면에서는 더욱 그렇습니다.

보안은 언제나 NGINX를 구축하고 유지 관리하는 방식의 핵심이었습니다. 하지만 소프트웨어 보안을 둘러싼 환경은 빠르게 변화하고 있습니다. 최첨단 AI 모델을 활용하면 기존 방식만 사용할 때보다 복잡한 코드베이스를 더 쉽게 분석하고, 여러 모듈에 걸쳐 추론하며, 잠재적인 취약점을 더 빠르게 식별할 수 있습니다. 이는 방어자에게 기회를 제공하는 동시에 신속한 대응의 필요성도 높입니다. AI가 엔지니어링 팀이 문제를 더 빠르게 찾아 해결하도록 도울 수 있다면, 공격자 역시 취약점을 더 효율적으로 찾는 데 AI를 활용할 수 있습니다.

“AI 기반 보안 분석을 활용하면 코드를 더 빠르게 검사하고, 의심스러운 패턴을 식별하며, 잠재적인 취약점 연쇄 가능성을 분석할 수 있습니다. 하지만 단순히 모델에 버그를 찾아 달라고 요청하는 것만으로는 가치를 얻을 수 없습니다. 진정한 가치는 모델을 중심으로 이루어지는 전체 수명 주기, 즉 스캔, 분류, 수정, 테스트, 릴리스, 반복에서 나옵니다.”

이것이 바로 F5가 AI 기반의 NGINX 보안 강화 방식에 투자하는 이유입니다. 목표는 간단합니다. 문제를 더 일찍 발견하고, 철저히 검증하며, 신중하게 수정한 뒤, 보안이 강화된 릴리스를 최대한 빠르고 안정적으로 사용자에게 제공하는 것입니다.

전체 F5 NGINX 포트폴리오 보안 강화

NGINX는 단일 코드 경로로 이루어져 있지 않습니다. 오픈 소스 소프트웨어, 상용 제품, Kubernetes 중심 구성 요소, 보안 모듈, 개발자를 위한 확장성 프로젝트를 아우르는 광범위한 생태계입니다. NGINX를 보호하려면 이 전체 영역을 종합적으로 살펴봐야 합니다.

당사의 테스트 및 검증 작업은 F5 NGINX Open Source, F5 NGINX Plus, F5 NGINX Ingress Controller, F5 NGINX Gateway Fabric, F5 NGINX Instance Manager, F5 NGINX One Console, F5 WAF for NGINX, 관련 애플리케이션 보안 모듈, 그리고 njs로 알려진 nginx JavaScript 모듈을 포괄합니다.

이처럼 폭넓은 지원이 중요한 이유는 사용자가 NGINX를 다양한 방식으로 운영하기 때문입니다. 웹 서버나 리버스 프록시로 사용하는 경우도 있고, 로드 밸런서, API 게이트웨이, 인그레스 컨트롤러 또는 더 광범위한 애플리케이션 전송 아키텍처의 일부로 사용하는 경우도 있습니다. 오픈 소스 구성 요소를 활용하는 사용자도 있고, 상용 지원과 엔터프라이즈 기능을 이용하는 사용자도 있습니다. 이 둘을 함께 사용하는 경우도 많습니다.

사용자에게 중요한 가치는 일관성입니다. 보안 작업은 단순히 개별 구성 요소가 패키징되는 방식뿐만 아니라 소프트웨어가 실제로 배포되는 방식까지 반영해야 합니다. NGINX 포트폴리오 전반에 걸친 테스트를 통해 문제를 맥락에 맞게 평가하고 불확실성을 줄이며, 업데이트가 필요할 때 사용자에게 더욱 명확한 지침을 제공할 수 있습니다.

커뮤니티가 NGINX를 더욱 강하게 만듭니다

NGINX는 언제나 커뮤니티의 전문 지식을 통해 발전해 왔습니다. 연구자, 유지관리자, 기여자, 운영자, 고객, 오픈 소스 사용자 모두가 소프트웨어를 개선하는 데 힘을 보태고 있습니다.

문제를 발견하고, 버그를 보고하고, 수정 사항을 제출하며, 오랜 시간에 걸쳐 NGINX를 개선하는 데 도움을 주신 분들께 감사의 뜻을 전하고자 합니다. 이분들의 노력은 프로젝트를 더욱 견고하게 만들고 더 넓은 인터넷 생태계를 보호하는 데 기여합니다.

최근 확인된 다음과 같은 문제들은 커뮤니티 기여의 사례입니다. CVE-2026-42530, CVE-2026-42055, CVE-2026-9256, 그리고 CVE-2026-42945입니다. 더 폭넓은 커뮤니티를 통해 보고된 이러한 발견 덕분에 신속하게 조사하고 검증하여 문제를 해결하고 업데이트를 배포할 수 있었습니다. 이는 연구자, 기여자, 유지관리자가 협력하여 위험을 줄이고 NGINX를 사용하는 모든 사용자의 보안을 강화하는 방식을 보여주는 실질적인 사례입니다.

이러한 협업은 AI 시대에 더욱 중요합니다. 스캔 도구가 발전함에 따라 더 많은 사람이 더 많은 프로젝트에서 더 많은 문제를 발견할 수 있게 될 것입니다. 유지관리자, 연구자, 사용자가 소프트웨어에 의존하는 모든 사람의 위험을 줄인다는 공동의 목표를 위해 협력한다면, 이는 소프트웨어 보안에 매우 긍정적인 일이 될 수 있습니다.

잠재적인 보안 문제가 조사, 검증, 수정 및 테스트되고, 사용자가 명확하게 보호 조치를 취할 수 있도록 안내될 때 최상의 결과를 얻을 수 있습니다. 이를 가능하게 하는 커뮤니티의 역할에 감사드립니다.

스캔, 분류, 수정, 테스트, 릴리스, 반복

NGINX는 수년간 엄격한 엔지니어링, 테스트 및 보안 관행을 유지해 왔습니다. 달라지고 있는 것은 보안 작업을 수행할 수 있는 속도와 규모입니다.

AI 기반 보안 분석을 활용하면 코드를 더 빠르게 검사하고, 의심스러운 패턴을 식별하며, 잠재적인 취약점 연쇄를 분석할 수 있습니다. 하지만 단순히 모델에 버그를 찾아 달라고 요청하는 것만으로는 가치를 얻을 수 없습니다. 진정한 가치는 모델을 중심으로 이루어지는 전체 주기, 즉 스캔, 분류, 수정, 테스트, 릴리스, 반복에서 나옵니다.

F5의 스캐닝 인프라는 철저한 다단계 프로세스를 따릅니다.

스캔은 크고 복잡한 코드베이스 전반에서 잠재적인 문제를 찾아내는 데 도움이 됩니다. 분류 작업은 실제로 유효한 결과와 오탐을 구분하는 데 도움이 됩니다. 엔지니어링 검토를 통해 검증된 결과를 수정 사항으로 반영합니다. 테스트는 수정 사항이 제대로 작동하고 회귀 문제를 일으키지 않는지 확인하는 데 도움이 됩니다. 릴리스 계획은 사용자가 보안이 강화된 소프트웨어를 적시에 이해하기 쉬운 방식으로 제공받을 수 있도록 지원합니다.

AI는 이러한 주기의 일부를 가속하는 데 도움이 되지만, 엔지니어의 판단은 여전히 필수적입니다. 모델은 잠재적 문제를 제시하고 분석을 지원하며 악용 가능성을 판단하는 데 도움을 줄 수 있습니다. 하지만 검증하고, 우선순위를 정하고, 수정하고, 테스트하며, 신중하게 릴리스 방식을 결정하는 일은 여전히 사람이 담당합니다.

NGINX와 같이 성숙한 인프라 소프트웨어에서는 이러한 균형이 중요합니다. NGINX는 널리 배포되어 있고 구성 유연성이 높으며 성능에 민감한 환경에서 사용됩니다. 수정 사항은 개별적으로만 평가해서는 안 됩니다. 실제 사용 패턴, 제품 조합 및 배포 모델을 고려해 테스트해야 합니다.

사용자에게 돌아가는 이점은 분명합니다. NGINX가 사용되는 다양한 환경에서 엔지니어링 검토와 테스트를 거쳐 문제를 더욱 체계적으로 찾아내고 해결할 수 있습니다.

지속적인 투자가 중요합니다

이러한 수준의 작업을 수행하려면 지속적인 투자가 필요합니다. 고급 AI 모델에 대한 접근 권한, 전담 보안 및 엔지니어링 역량, 테스트 인프라, 체계적인 릴리스 관리, 그리고 오픈 소스와 상용 소프트웨어 전반에 걸친 협업이 필요합니다.

이러한 투자는 F5가 NGINX를 지원하는 방법 중 하나입니다. 오픈 소스 커뮤니티는 강력하며, NGINX는 이러한 모델을 통해 계속해서 혜택을 얻고 있습니다. 동시에 광범위한 포트폴리오 전반에 AI 기반 보안 분석을 적용하고, 분석 결과를 검증하며, 여러 제품에서 수정 사항을 테스트하고, 명확한 릴리스를 준비하려면 인력과 도구, 프로세스, 시간이 필요합니다.

사용자에게 이것이 중요한 이유는 보안이 일회성 이벤트가 아니라 지속적인 활동이기 때문입니다. 결함을 발견하는 것뿐만 아니라, 시간이 지나도 지속적으로 개선 사항을 찾아 수정하고 테스트하여 릴리스하는 체계를 구축하는 데에도 가치가 있습니다.

또한 업데이트로 인해 사용자에게 추가 작업이 발생한다는 점도 잘 알고 있습니다. 보안이 더욱 강화된 릴리스가 늘어날수록 평가하고 테스트하고 배포해야 할 업데이트도 많아집니다. 저희는 이 점을 충분히 고려하고 있습니다. 저희의 목표는 프로세스를 최대한 명확하고 예측 가능하게 유지하면서 보안을 강화하는 것입니다.

더 안전한 인터넷을 만드는 데 동참해 주세요

인터넷은 공동 인프라를 기반으로 운영됩니다. NGINX는 이러한 인프라의 일부이며, NGINX의 보안을 지키는 것은 우리 모두의 공동 책임입니다.

F5는 AI 기반 보안 관행, 체계적인 릴리스 프로세스, NGINX 포트폴리오 전반의 테스트에 지속적으로 투자할 것입니다. 또한 AI가 소프트웨어 보안의 가능성을 변화시키는 가운데 계속해서 배우고 발전해 나갈 것입니다.

커뮤니티 여러분께 두 가지 중요한 방식으로 도움을 요청드립니다.

첫째, NGINX에서 보안 문제를 발견했다고 판단되는 경우 세부 정보를 공개하기 전에 당사와 협력해 주십시오. 당사가 문제를 재현하고 파악할 수 있도록 충분한 정보를 공유해 주십시오. 유지관리 담당자가 문제를 검증하고 수정 및 테스트한 후 사용자를 보호하는 데 도움이 되는 업데이트를 배포할 수 있도록 충분한 시간을 주십시오. 취약점은 당사의 보안 신고 절차를 통해 여기 또는 여기에서 신고할 수 있습니다.

둘째, 인프라를 항상 최신 상태로 유지하세요. 문제를 발견하고 해결하는 것은 보안 수명 주기의 일부일 뿐입니다. 이러한 수정 사항은 실제로 배포되어야만 사용자를 보호할 수 있습니다. 특히 종속성이 많고 변경 가능 시간대와 검증 요구 사항이 있는 복잡한 환경에서는 핵심 인프라에 패치를 적용하기가 어려울 수 있다는 점을 잘 알고 있습니다. 따라서 조직은 가능한 경우 자동화를 활용하는 등 패치 적용을 일상적인 운영 수명 주기의 일부로 정착시킬 방법을 모색해야 합니다.

AI 시대는 소프트웨어 보안의 속도를 바꾸지만, 그 목표까지 바꾸지는 않습니다. 우리 모두는 더 안전한 소프트웨어, 더 탄력적인 인프라, 더 안전한 인터넷을 원합니다.

그 목표를 이루는 가장 좋은 방법은 함께하는 것입니다.

자세한 내용은 이전 블로그 게시물인 “최첨단 AI로 코드 보안 강화하기: F5의 개발 성과와 교훈”을 참조하세요.