취약점 관리에서 더 이상 핵심 문제는 보안팀이 취약점을 얼마나 빠르게 발견할 수 있는지가 아니라, 공격자들이 이를 악용하기 전에 증가하는 결과의 규모를 얼마나 올바르게 처리할 수 있는지에 있다. Microsoft는 첨단 AI 모델이 검사 범위와 취약점 탐지, 수정안 설계를 확대할 것이라고 보지만, 동시에 보안팀이 기존의 전통적인 수작업 검토 프로세스가 감당하도록 설계된 것보다 훨씬 많은 결과에 직면하게 될 것이라고 본다.
회사는 AI가 방어 담당자들이 노출을 조기에 발견하고 일부 대응 작업을 자동화할 수 있도록 하지만, 동시에 공격자들에게 취약점을 더 빠르게 찾고 악용할 수 있는 도구를 제공한다고 말한다. 따라서 보안 프로그램의 성공을 패치 배포 속도만으로 측정하는 것은 충분하지 않다. 적시에 모든 취약점을 패치할 수 없을 때 침해의 영향을 제한하는 통제를 도입하면서, 패치의 속도와 정확성 사이의 균형을 유지해야 한다.
취약점 관리에서 무엇이 바뀌는가?
Microsoft는 첨단 AI 모델을 사용해 자사의 코드베이스를 검사한 뒤, 잠재적 취약점을 처리하기 전에 정확성, 심각도, 영향 측면에서 검토한다. 회사는 취약점 처리와 공개의 일부 단계가 AI의 지원을 받게 되었으며, 이를 통해 프로세스의 범위를 확대할 수 있다고 설명한다.
회사에 따르면 Microsoft 측에서 클라우드 소프트웨어 취약점 대부분을 고객의 개입 없이 처리한다. 반면 온프레미스 소프트웨어 사용자는 화요일 업데이트에 포함되어 발표되는 취약점 수가 과거 수준과 비교해 크게 증가할 것으로 예상해야 한다. 2026년 9월에는 취약점 수가 1,000건에 육박하는 기록적인 수준을 기록했다.
Microsoft는 모델이 비결정적이므로 다시 실행하거나 다른 모델을 사용하면 동일한 결과에 대해 서로 다른 출력을 낼 수 있다고 지적한다. 이에 회사는 모델이 코드에 접근하는 방식을 정하고, 출력을 검증하며, 결과를 선별 및 대응 경로에 연결하는 제어 계층 또는 모델을 둘러싼 «안전벨트»를 사용한다. Microsoft는 엔지니어링 조직 전반에서 이러한 계층의 사용을 확대했으며, MDASH라는 코드명을 가진 도구 중 하나를 고객에게도 제공했다.
정보보안 리더를 위한 실무 조치
- 패치 리소스 확대: 업데이트 규모가 계속 증가할 것으로 예상되므로 Microsoft 온프레미스 소프트웨어의 패치, 취약점 선별, 일정 수립에 더 많은 리소스를 할당해야 한다.
- 핵심 시스템의 패치 시간 단축: Microsoft는 주말이나 기존 유지보수 기간을 기다리는 대신 도메인 컨트롤러와 엔드포인트 같은 구성 요소에 24시간 이내에 수정 사항을 적용하는 방안을 검토할 것을 제안한다.
- 모델 제어 계층 사용: 최신 모델의 제공을 기다리지 않고도 유사한 계층을 적용해 AI 도구의 코드 접근을 제어하고, 결과를 검증하며, 이를 대응 프로세스에 통합할 수 있다.
- 인간 선별을 위한 리소스 할당: 결과 수가 증가해도 우선순위를 정하고 결과의 정확성을 검증하며 오류를 처리하는 전문가의 필요성은 사라지지 않는다.
- 다중 계층 방어 강화: 일부 취약점은 악용되기 전에 처리되지 않을 수 있으므로 핵심 보안 통제의 상태를 모니터링해야 한다.
이 소식이 중요한 이유
실질적인 변화는 취약점 관리가 규모가 제한된 주기적 프로세스에서 팀이 수작업으로 검사할 수 있는 것보다 더 많은 결과를 지속적으로 생성할 수 있는 흐름으로 전환된다는 점이다. 이는 검사 속도만큼이나 선별 품질과 결과 검증의 중요성을 높이며, 패치 시점을 단순한 유지보수 절차가 아니라 운영 및 보안상의 결정으로 만든다.
Microsoft는 오픈소스 소프트웨어 공급망의 위험도 지적한다. 회사는 업계 기관들과 협력해 핵심 구성 요소를 검사하고, 해당 구성 요소를 관리하는 주체들과 조율해 수정 우선순위를 정한다. 또한 고객의 부담을 줄이는 수단으로 Secure by Design과 Secure by Default라는 두 가지 원칙을 제시하며, Azure 관리자를 위한 다중 인증 의무화, Azure Backup에서 논리적 삭제의 기본 활성화, Azure VNet에서 기본 아웃바운드 액세스 비활성화 등을 사례로 든다.
기본적으로 안전한 설정과 한계
Microsoft는 현재 라이선스 계약을 체결한 고객이 이용할 수 있는 Microsoft Baseline Security Mode를 사용해 안전한 설정을 대규모로 적용하고 모니터링할 것을 권고한다. 이 모드를 사용하면 통제를 켜고 끄며 예외를 관리하고 단계적으로 배포할 수 있다. Microsoft의 신규 테넌트에는 해당 통제가 기본적으로 점진적으로 적용될 예정이다.
이러한 권고가 위험에 기반한 의사결정의 필요성을 없애는 것은 아니다. 모델 출력의 차이, 부정확한 결과의 가능성, 인적 자원과 전문적인 선별의 필요성은 모두 자동화를 거버넌스와 검토를 대체하는 수단이 아니라 보조 요소로 만드는 제약이다. 또한 원문은 MDASH의 정확도나 처리 시간 단축 규모에 대한 세부 측정치를 제시하지 않으므로, 이를 입증된 결과로 간주하기 전에 독립적인 평가가 필요하다.