Akrites, 오픈 소스 소프트웨어 취약점 보고의 물결을 분류하기 위해 AI와 인간을 활용

AI 도구를 활용하면 오픈 소스 소프트웨어에서 잠재적 취약점을 발견하기가 쉬워졌지만, 추정된 문제를 쉽게 찾을 수 있다고 해서 그것이 실제로 악용 가능한 취약점이라는 의미는 아니다. 그 결과 프로젝트 관리자들은 장황하거나 부정확하거나 반복적인 보고가 쏟아지는 상황에 직면했으며, 이는 결함 수정과 소프트웨어 개발에 투입할 수 있었던 시간을 소모한다.

Linux Foundation이 6월에 발표한 Akrites 이니셔티브는 공동 보안 사고 대응팀(SIRT)을 통해 이러한 격차를 해소하려 한다. 이 팀의 임무는 취약점 보고를 수집하고 검증하며, 원 프로젝트 관리자들과 수정 작업을 조율하는 것이다. 프라하에서 열린 Open Source Summit Europe 기간에 The New Stack과 진행한 인터뷰에서 Akrites의 기술 책임자이자 Open Source Security Foundation(OpenSSF)의 수석 보안 아키텍트인 Christopher Robinson과 Linux Foundation의 AI 및 에이전트 시스템 보안 아키텍트인 Laura Guazzelli는 문제의 성격과 이니셔티브의 작동 방식을 설명했다.

‘즉흥적 연구’에서 운영 부담으로

Robinson은 이제 20달러짜리 유료 계정만 있으면 취약점 탐색을 시작할 수 있다고 말하며, 비전문가의 진입 장벽이 낮아졌음을 지적했다. OpenSSF의 수석 직원인 Adrianne Marcum은 이러한 유형을 ‘vibe researching’이라는 표현으로 풍자적으로 묘사했다. 이는 AI 도구를 사용해 코드를 검사하고, 검증에 필요한 보안 맥락이나 전문 지식 없이 결과를 보내는 행위를 뜻한다.

Robinson은 보안 요청 하나를 검토하는 데 엔지니어가 최대 8시간을 쓸 수 있다고 추정한다. 그가 설명한 자동화된 보고는 매우 상세하지만 대체로 부정확하고, 문제의 심각도를 과대평가하며, 수정 사항을 작성하거나 악용 방법을 이해하는 데 필요한 데이터를 항상 제공하지는 않는다.

의심스러운 코드 발견만으로는 충분하지 않은 이유

주요 제약 중 하나는 모델이 프로젝트의 전체적인 보안 구조를 이해하지 못한 채 의심스러운 코드 일부를 볼 수 있다는 점이다. 다른 위치에 결함 악용을 막는 추가적인 통제가 있을 수도 있으며, 이 경우 해당 보고는 오탐이 되거나 실제 위험도가 낮아진다. 또한 유사한 모델은 같은 결함을 발견하는 경향이 있어, 관리자에게 동일한 문제에 대한 여러 보고가 전달된다.

그럼에도 Akrites는 AI가 생성한 보고를 무시하는 것이 현실적인 선택이라고 보지 않는다. Robinson은 특히 비용이 더 높은 유료 모델에서 지난 1년 동안 결과의 품질이 향상됐다고 말한다. 또한 도구는 때때로 위험도가 낮은 문제들을 연결해 더 큰 악용 연쇄로 전환할 수 있는데, 이는 인간 연구자에게 수개월 또는 1년이 걸릴 수 있는 작업이다.

프로젝트에 보고가 전달되기 전의 인간 검토

Akrites는 AI를 사용해 들어오는 보고를 평가하고 중복을 발견한 다음, 파견 엔지니어가 이를 검토한 뒤 관리자에게 전달한다. 이들의 역할은 취약점의 존재 여부를 판단하는 데 그치지 않고, 프로젝트가 더 빠르고 증거에 근거해 결정을 내릴 수 있도록 보고를 요약하고 테스트 사례, 개념 증명, 수정 사항을 추가하는 것까지 포함한다.

이니셔티브에는 Anthropic, OpenAI, Google, Microsoft, AWS, NVIDIA, Cisco, IBM, Red Hat, Citi, JPMorganChase 등이 창립 회원으로 참여한다. Robinson에 따르면 회원들은 자금 지원과 함께 엔지니어링 자원도 제공해야 하며, 회원 1곳당 최대 10명의 정규직 엔지니어를 투입할 수 있다. 그는 약 200명의 파견 엔지니어를 확보하고 있으며, 이들 중 다수는 이미 오픈 소스 프로젝트의 기여자이거나 관리자라고 말한다.

실제로 무엇이 달라지는가?

Akrites는 모든 자동화 결과를 코드 소유자에게 직접 전달하는 대신, 취약점 발견 도구와 프로젝트 관리자 사이에 분류 및 검증 계층을 둔다. 이는 잡음을 줄이고 보고의 실행 가능성을 높일 수 있지만, 인간의 전문 지식이나 지속적인 자금 지원의 필요성을 없애지는 않는다. 인프라와 대규모 언어 모델 사용에는 상당한 자원이 소요되기 때문이다.

Linux Foundation과 연계된 또 다른 이니셔티브인 open source Cyber Reasoning System(OSS-CRS)은 프로젝트 자체가 취약점을 조사하고 수정 사항을 제안하는 데 도움이 되는 도구를 개발하고 있다. Akrites가 프로젝트 간 보고 주기 조율에 초점을 맞추는 반면, OSS-CRS는 관리자가 더 많은 작업을 직접 수행할 수 있도록 지원하는 데 관심을 둔다. 제안된 수정 사항의 효과는 여전히 미해결된 문제다. 수정 사항이 근본 원인을 해결하는 동시에 새로운 취약점을 추가하거나 기존 기능을 손상시키지 않는지 검증해야 하기 때문이다.