美 CISA, AI 해킹 위협에 사이버보안 조치 시한 3일로 단축

최고 위험 등급 취약점 3일 내 조치... 민간 연방 기관 대상 의무화 지침 발표
미토스 등 첨단 AI 모델 활용한 자동화 사이버 공격 방어 목적

[보안뉴스 조재호 기자] 미국 사이버보안및인프라보안국(CISA)이 해커들의 인공지능 악용에 대응하기 위해 정부 네트워크의 중대 디지털 취약점 조치 시한을 3일로 대폭 단축했다.

현지시간 10일 로이터 등 외신에 따르면, CISA는 새로운 지침을 통해 취약한 소프트웨어나 장비를 운용하는 민간 연방 기관들이 위협의 심각도에 따라 최대 3일 이내에 이를 수정·비활성화하거나 인터넷망에서 완전히 분리하도록 의무화했다.

앤트로픽 미토스 같은 첨단 AI 모델이 사이버 공격자들의 취약점 악용 능력을 극대화하고 있다는 보안 전문가들의 우려를 반영했다. AI를 통해 대규모 자동화 공격이 가능해지면서 보안 현장에서는 취약점이 발견되는 즉시 방어 조치를 취해야 한다는 압박에 직면했다.

크리스 부테라 사이버보안및인프라보안국 사이버보안 부문장 권한대행은 “보안 담당자들이 자동화된 대규모 공격에 노출된 시스템을 패치하는 데 몇 주씩 지체할 여유가 없어졌다”며 “이번 지침은 새롭게 등장하는 AI 모델의 향상된 기능에 대응하기 위한 첫걸음”이라고 말했다.

다만, 해커나 사이버 범죄자가 자동화된 공격으로 악용하기 어렵거나 외부 인터넷망에 노출되지 않은 인프라 취약점 등 상대적으로 위험도가 낮은 경우엔 더 긴 유예 기간을 준다. 이번 지침의 부록에 따르면 대다수 취약점은 2주 안에 해결하도록 규정했으며, 심각성이 낮은 취약점엔 최대 2개월까지 조치 기한을 둬 실무적 유연성을 보장했다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다