AI 기반 취약점 탐지 시대에 위험 점수 산정이 중요한 이유

F5 ADSP | 2026년 6월 09일

아주 오래전처럼 느껴지는 과거에는 보안팀이 공격자들이 애플리케이션을 일일이 살펴보며 악용할 수 있는 취약점을 찾아내는 것을 우려했습니다.

불과 몇 달 만에, 취약점을 악용하는 그런 방식이 이제는 거의 구식으로 느껴질 정도이지 않나요?

최첨단 AI 모델과 Claude Mythos 같은 프로젝트가 애플리케이션 코드 및 오픈 소스 생태계에 적용되면서, 취약점 발견은 매우 짧은 시간 안에 기하급수적으로 빨라지고 사실상 무한대로 확장 가능해졌으며 비용도 훨씬 저렴해졌습니다. 발견된 취약점이 악용될 가능성 역시 마찬가지입니다.

“팀은 정상적인 트래픽은 방해 없이 통과시키면서 실제 악성 행위만을 표적으로 삼는 동적 위협 평가를 신뢰할 수 있습니다.”

한 명의 연구원이 버그를 찾아내는 방식과 달리, AI는 리포지토리를 빠르게 분석하고 안전하지 않은 패턴을 식별하며 익스플로잇 경로 생성을 지원합니다. 그 결과, 더 많은 취약점이 조기에 발견되고 더 빠르게 무기화되는 새로운 현실이 펼쳐지고 있습니다.

웹 앱과 API, 그리고 이를 개발하고 사용하는 전 세계 수백만 개 조직이 던져야 할 질문은 더 이상 “익스플로잇 시도가 발생할 것인가?”가 아니라, 이제는 “어떤 익스플로잇이 가장 중요하며, 적시에 막아야 할 익스플로잇을 차단할 수 있는가?”

문제: 익스플로잇 공격은 가속화되는데 WAF 노이즈에 파묻히다

웹 애플리케이션 방화벽(WAF)은 일반적인 공격을 차단하는 데 필수적인 보안 통제 수단입니다. 하지만 기존 WAF는 애플리케이션이나 API에 대한 액세스를 허용할지 차단할지 양자택일하도록 강요하는 경우가 많습니다. 이로 인해 보안팀은 오탐과 우선순위가 낮은 이벤트를 비롯한 과도한 경고에 시달리며 고통스럽고 시간 소모적인 악순환에 빠질 수 있습니다. 정상 트래픽을 중단하지 않으면서 불필요한 경고를 줄이려면 전문가가 직접 조정해야 하지만, 이는 느릴 수밖에 없고, 정작 전문가는 줄어들고 있어 기술 및 지식 격차는 더욱 커지고 있습니다.

그 사이에도 AI의 도움을 받는 공격자들은 처리해야 할 업무가 밀려 있다고 해서 공격 속도를 늦추지 않습니다. 오히려 이들은 SecOps 팀이 과도한 업무와 요청에 시달리고, 경우에 따라서는 완전히 지쳐 포기한 상태이기를 기대합니다.

‘알림’에서 ‘우선순위’로 전환하기

이러한 이유로 위험 점수 산정이 필수 요소로 자리 잡았습니다.

현재처럼 WAF에서 발생하는 모든 신호에 동일한 가중치를 부여하면 경고가 지나치게 많이 생성되어, 이미 업무 부담이 큰 팀이 경고 피로에 시달리게 됩니다. 또한 오탐도 너무 많이 발생해 애플리케이션 사용자에게 불편을 줄 수 있습니다.

SecOps 팀은 강력한 보호 수준을 유지하면서 오탐을 최소화하기 위해 WAF 시그니처를 지속적으로 조정해야 하는 끊임없는 균형 과제에 직면해 있습니다. 수동 WAF 튜닝은 복잡하며, 이미 업무 부담이 큰 보안, 개발 및 운영 팀 간에 많은 시간이 소요되는 조율을 요구하는 경우가 많습니다. 속도, 정확성, 팀 간 협업 부담 사이의 절충을 고려해야 하면 문제 해결이 지연되고 위험 노출이 지속됩니다. 따라서 그 어느 때보다 더 고도화된 AI 기반 WAF 기능이 반드시 필요합니다.

모든 WAF 신호를 동일하게 취급하는 대신, 위험 기반 모델은 실질적인 운영상의 질문에 답합니다. “위험을 최대한 줄이려면 무엇부터 조치해야 하는가?”

애플리케이션을 위한 위험 기반 모델은 복잡한 보안 데이터를 해석하고 다양한 신호와 입력을 활용해 정량화 가능한 지표로 변환한 위험 점수를 제공합니다. 위험 점수는 취약점의 악용 가능성, 비즈니스 중요도, 데이터 민감도를 측정합니다. 애플리케이션 취약점에 이러한 수준의 맥락을 적용하면 패치 우선순위 지정이 현대화되고 간소화되며, 리소스를 효율적으로 할당할 수 있고, 기술적 위험과 비즈니스 영향 간에 빠르게 좁혀지는 격차를 해소할 수 있습니다.

취약성 위험을 평가하면 가장 시급하고 중대한 위협을 식별하여 경고 피로를 방지할 수 있으므로, 보안 팀은 조직과 사용자에게 가장 큰 잠재적 피해를 초래할 수 있는 취약성을 패치하거나 가상 패치를 적용할 수 있습니다. 위험 점수화는 보호 조치에 필요한 맥락과 우선순위를 제공하고, 위험 기반 보안 접근 방식의 증거를 표준화하여 규정 준수 요건에 보다 쉽게 대응할 수 있도록 지원합니다.

F5 AI 기반 WAF

올해 초 게시한 블로그 “복잡성 없이 웹 앱 보호하기: F5의 AI 기반 WAF가 WAF 보안을 혁신하는 방법”에서는 F5 Distributed Cloud WAF의 AI 기반 WAF 기능이 웹 앱 보호를 크게 발전시켜 오탐은 줄이면서 보안은 강화하고, SecOps 팀의 지속적인 수동 튜닝 부담을 완화하는 방법을 살펴보았습니다. AI 기반 WAF는 애플리케이션 보안 의사 결정 방식을 바꾸어, 팀이 구성 작업이 많은 규칙 관리에서 벗어나 성과 중심의 보안으로 전환할 수 있도록 합니다.

수백 또는 수천 개의 시그니처를 끝없이 조정하는 대신, 팀은 정상적인 트래픽은 방해 없이 통과시키면서 실제 악성 행위를 표적으로 삼는 동적 위협 평가를 활용할 수 있습니다. 그 결과, 조직은 차단 모드로 더 빠르게 전환하고 실제 사용자에게 지장을 줄 위험을 크게 낮추면서 즉각적인 보호를 확보할 수 있습니다.

Distributed Cloud WAF의 AI 기반 기능은 이제 위협의 심각도를 정량화하는 직관적인 단일 수치 점수를 부여할 수 있습니다. 이는 많은 보안 팀이 이미 사용하는 다음 공식과 매우 유사합니다. “위험 = 발생 가능성 × 영향” 이 공식을 팀이 즉시 분류하고 대응할 수 있는 단일 수치 점수로 구현한 것입니다.

이 수치 점수는 가능성 점수(Likelihood Score)로 구성되며, 보안 이벤트가 정상 트래픽이나 오탐이 아니라 실제 공격으로 이어질 확률을 측정합니다.

또한 예상되는 보안 이벤트가 실제 공격으로 이어질 경우 상황이 얼마나 심각해질지를 정량화하는 영향 점수도 포함됩니다. 이 점수는 기밀성, 무결성, 가용성과 같은 실제 결과에 부합하는 지표뿐만 아니라 익스플로잇 예측 점수 시스템(EPSS) 및 익스플로잇 코드 성숙도와 같은 신호도 활용합니다.

AI 기반 취약점 악용에 대응하는 데 이것이 중요한 이유

AI 도구로 취약점 연구가 확대되면서 스캔과 탐색, 그리고 ‘공격에 가까운 시도’가 더욱 늘어날 것입니다. 문제는 실제 위협에 대응하는 데 써야 할 한정된 시간을 잘못된 보안 이벤트를 추적하는 데 허비할 수 있다는 점입니다. 엉뚱한 곳에 주의를 쏟느라 과로한 담당자들이 큰 피해를 초래할 수 있는 익스플로잇을 놓칠 위험도 있습니다.

위험 점수화는 다음과 같은 이점을 제공합니다:

알림 피로를 줄여 팀이 실제로 위험한 요소에 집중할 수 있도록 합니다.
잠재적 위협을 조사할지, 차단할지, 무시할지에 대해 더 빠르고 확신 있게 결정하세요.
끝없는 규칙 조정 대신 정량적 신호를 활용하여 수동 튜닝을 줄이고, 이미 과중한 업무와 인력 부족에 시달리는 보안 팀의 귀중한 시간을 절약하세요.
소규모 SecOps 팀도 효과적으로 운영될 수 있도록 하여, 신규 인력이 조직 내 암묵지에 의존하지 않고 명확한 점수를 바탕으로 대응할 수 있게 합니다.

핵심 요약

프런티어 AI는 ‘취약점 존재’에서 ‘실제 환경에서의 악용’까지 걸리는 시간을 단축하고 있습니다. 이러한 환경에서 보안은 우선순위 없이 쌓여 있는 경고 목록이어서는 안 됩니다. 위험 점수화는 WAF의 수많은 경고에서 유의미한 신호를 가려내 실제 위협의 우선순위를 정하고, 취약점 악용이 사고로 이어지기 전에 차단할 수 있도록 지원합니다.

자세한 내용은 보도 자료와 F5 WAF 솔루션 제품 페이지를 참조하세요.

무료 평가판을 신청하거나 지금 바로 전문가와 상담하세요.