Anthropic is finding bugs faster than Microsoft can fix them

개요

Anthropic의 AI 모델 Mythos가 Microsoft의 소프트웨어에서 이전에는 발견하기 어려웠던 취약점을 빠르게 탐지하면서, Microsoft는 해커들의 악용 전에 이를 수정하기 위한 속도전에 직면했다.

주요 내용

• Microsoft는 Anthropic의 AI 모델 Mythos를 통해 사내에서 자체적으로 발견하기 어려웠던 보안 취약점들을 신속하게 탐지하고 있다.
• Project Glasswing 프로젝트의 일환으로, Microsoft 엔지니어들은 Mythos가 발견한 취약점을 해커들이 악용하기 전에 패치하기 위해 "미친 듯이 서두르고" 있으며, 특히 SharePoint와 같은 주요 소프트웨어에서 수많은 "critical" 및 "important" 버그가 발견되었다.
• AI가 발견하는 취약점의 양이 기록적 수준으로 증가하면서, 기존의 취약점 분류 및 우선순위 지정(triage) 전략은 재고될 필요가 있으며, 낮은 등급의 취약점이라도 체인(chaining)을 통해 심각한 공격으로 이어질 수 있다는 우려가 제기되고 있다.
• Microsoft는 공개적으로 6월과 7월에 역대 최고치에 달하는 수백 개의 취약점에 대한 패치를 발표했으며, 이는 AI 기반 취약점 발견 도구가 가져온 변화를 보여준다.
• AI 시대에는 체인 가능성을 포함한 모든 수준의 취약점에 대한 패치 개발 및 테스트에 전념해야 하며, 기존의 낮은 위험으로 간주되던 취약점도 재평가해야 할 필요성이 강조된다.
• Microsoft를 포함한 소프트웨어 산업 전반에 걸쳐 AI가 야기하는 폭발적인 취약점 증가 문제에 대한 근본적인 해결책을 찾고 있으며, 이는 기술 부채(technical debt)가 상환되는 시기라는 인식도 있다.
• Microsoft Security Response Center(MSRC)는 AI 이전에도 이미 많은 보고서를 처리하며 인력 부족에 시달렸고, 보안 패치는 비용 센터, 신제품 개발은 수익 센터라는 기업 철학이 취약점 처리 속도에 영향을 미칠 수 있다는 지적이 있다.

시사점

AI 기반 취약점 탐지 도구의 등장으로 소프트웨어 보안 패러다임에 근본적인 변화가 요구되며, 기존의 취약점 관리 및 우선순위 지정 전략을 재검토하고, 낮은 등급의 취약점까지도 체인 공격 가능성을 고려하여 적극적으로 관리해야 하는 시대가 도래했다.