취약점과 익스플로잇 찾는다 공지한 미국 해군

공식 국가 조달사업 웹 사이트에 여러 해킹 정보 문의한 해군

[보안뉴스 문가용] 미국 해군이 미국 정부가 운영하는 조달사업 웹 사이트인 Federal Business Opportunity에 올린 제안서가 물의를 빚고 있다. 미 해군 시스템 지원 사령부가 CMMI 레벨 3 인증을 가지고 있는 계약자를 찾는다는 내용에 더해 익스플로잇 생성이 가능한 자를 물색 중이라고 밝혔기 때문이다.

해군이 찾는 것은 다음과 같았다. “마이크로소프트, 어도비, 오라클 자바, EMC, 노벨, IBM, 안드로이드, 애플, 시스코, 링크시스, 리눅스 등 유명 소프트웨어를 비롯한 여타 상업용 소프트웨어의 취약점 첩보, 익스플로잇 보고서, 운영 익스플로잇 바이너리를 찾습니다.” 즉, 민간인들이 평소 많이 사용하는 소프트웨어의 취약점을 알려달라고 공모한 것이다. 그것도 정부가 운영하는 조달사업 웹 사이트에서 말이다.

해군 측은 해커들의 공격 루트를 파악하기 위해, 즉 방어를 위해 위와 같은 정보를 요구했다고 주장하고 있으며 아직 마이크로소프트, IBM, EMC, 어도비, 애플은 이에 대해 별 다른 언급을 하지 않고 있다.

정부, 특히 NSA가 제로데이 취약점 정보를 구입하는 사실은 미국 내에서 여전히 뜨거운 논란거리인데, 이는 정부가 제로데이 취약점을 어떻게 사용하는지 투명하게 밝힌 바가 없고 동시에 유명 기업들이 자발적으로 이런 취약점 정보를 정부에 제공했는지도 알 수가 없기 때문이다.

[국제부 문가용 기자(globoan@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다