AI 기반 취약점 관리 전략｜CVE 점수를 넘어 자산 중요도, 악용 가능성으로 패치 우선순위 결정하기

World Story Factory World Story Factory 8/19/2026 07:20:00 오전

AI 기반 취약점 관리 전략｜CVE 점수를 넘어 자산 중요도, 악용 가능성으로 패치 우선순위 결정하기

AI 기반 취약점 관리 전략｜CVE 점수를 넘어 자산 중요도·악용 가능성으로 패치 우선순위 결정하기

취약점 2,147개, 그런데 오늘 고칠 수 있는 것은 17개뿐이라면?

월요일 오전 8시 37분.

회의실 모니터에는 빨간색 숫자가 큼지막하게 떠 있습니다.

2,147

주말 동안 새로 돌린 취약점 스캐너가 회사 서버와 PC, 클라우드 워크로드에서 찾아낸 보안 경고의 숫자입니다.

누군가 커피잔을 내려놓으며 말합니다.

“CVSS 9점 이상부터 전부 패치하면 되지 않을까요?”

그런데 인프라 담당자의 표정이 밝지 않습니다.

2,147개를 오늘 모두 수정할 수는 없습니다. 테스트 없이 패치를 밀어 넣었다가는 업무 시스템이 멈출 수도 있습니다.

더 이상한 점도 발견됩니다.

CVSS 9.8인 취약점 하나는 외부 인터넷에서 접근할 수 없는 테스트 서버에 있습니다.

반면 CVSS 7점대의 다른 취약점은 고객 로그인 시스템과 연결된 인터넷 공개 서버에서 발견됐고, 실제 공격에 악용된 취약점을 모은 CISA의 KEV Catalog에도 올라와 있습니다.

그렇다면 어느 것을 먼저 고쳐야 할까요?

※ 이 이야기는 특정 기업의 실제 침해사고가 아닙니다. AI 기반 취약점 관리와 패치 우선순위 결정 과정을 설명하기 위해 실무에서 자주 접할 수 있는 상황을 재구성한 가상 시뮬레이션입니다.

여기서 오늘 글의 핵심 질문이 시작됩니다.

“보안경고가 너무 많을 때 실제로 위험한 취약점을 어떻게 골라낼 것인가?”

답은 단순한 CVSS 숫자 정렬보다 훨씬 흥미롭습니다.

AI 취약점 관리란?｜‘취약점 찾기’보다 ‘무엇부터 고칠지’가 어려운 시대

Vulnerability Management, 즉 취약점 관리는 기업의 서버·PC·네트워크 장비·애플리케이션·클라우드 환경 등에서 보안 취약점을 발견하고 평가한 뒤 수정하고 다시 확인하는 지속적인 과정입니다.

여기에 AI를 적용한다고 해서 AI가 마법처럼 모든 취약점을 찾아 자동으로 패치한다는 뜻은 아닙니다.

현실적으로 더 중요한 활용 방향은 방대한 취약점 데이터를,

자산 정보 → 취약점 심각도 → 악용 가능성 → 실제 악용 증거 → 인터넷 노출 → 위협정보 → 기존 보안통제 → 패치 영향

과 연결해 사람이 판단해야 할 범위를 줄이는 것입니다.

NIST의 2026년 Cyber AI Profile 작업도 AI와 사이버보안의 관계를 한 방향으로만 다루지 않습니다. 공개된 Preliminary Draft에서는 AI 시스템 자체를 보호하는 영역(Secure)과 함께 AI를 이용한 사이버 방어(Defend), AI를 활용하는 공격에 대응하는 영역(Thwart)을 별도 초점 영역으로 제시하고 있습니다. (NIST Computer Security Resource Center)

즉 앞으로의 AI 보안은,

AI를 지키는 보안

뿐 아니라

AI로 기존 IT 환경을 더 효과적으로 지키는 보안

이라는 두 축으로 발전하고 있다고 볼 수 있습니다.

WSF 필자의 한 줄
“취약점이 많다는 사실보다 더 위험한 것은, 어떤 취약점이 지금 중요한지 구분하지 못하는 상태입니다.”

CVE란 무엇인가?｜취약점의 ‘주민등록번호’처럼 이해해보세요.

보안 뉴스를 읽다 보면 CVE-2026-XXXXX 같은 문자를 자주 만나게 됩니다.

CVE(Common Vulnerabilities and Exposures)는 공개적으로 알려진 보안 취약점을 식별하기 위한 표준화된 식별 체계입니다.

쉽게 말하면 취약점의 이름표와 비슷합니다.

병원에서 환자마다 접수번호가 있어야 의료진이 같은 사람을 정확하게 가리킬 수 있는 것처럼, 보안업계도 특정 취약점을 서로 다른 이름으로 부르면 혼란이 생깁니다.

그래서 CVE ID를 이용해 같은 취약점을 가리킵니다.

여기서 NVD(National Vulnerability Database)가 등장합니다.

NIST가 운영하는 NVD는 CVE와 관련된 보안 정보를 보강해 제공하며 CVSS 평가 정보도 제공합니다. (NVD)

그런데 CVE가 존재한다고 해서 그 취약점의 실제 위험이 모두 같은 것은 아닙니다.

이 차이를 이해해야 다음 단계로 넘어갈 수 있습니다.

CVSS란?｜위험 그 자체가 아니라 ‘기술적 심각도’를 읽는 출발점

CVSS 점수 중심 패치 전략의 한계를 이해하는 가이드

CVSS(Common Vulnerability Scoring System)는 취약점의 기술적인 심각도를 표준화해 표현하는 체계입니다.

0점부터 10점까지 숫자로 표시되기 때문에 매우 편리합니다.

10점에 가까울수록 심각한 취약점으로 보이니 높은 점수부터 고치면 될 것 같습니다.

그런데 NVD는 아주 중요한 문장을 명확하게 밝히고 있습니다.

CVSS는 severity, 즉 심각도를 측정하는 방법이며 risk 자체의 측정치는 아닙니다. (NVD)

이 차이가 오늘 글 전체를 관통합니다.

화재 위험을 예로 들어보겠습니다.

휘발유 창고에 불이 붙으면 매우 위험합니다.

그러나 그 창고가 사람이 없는 격리된 시설에 있고 점화원이 없다면 현재의 실제 위험 맥락은 달라집니다.

반대로 작은 불씨라도 사람이 가득한 건물의 비상구 옆에서 발생했다면 훨씬 급하게 대응해야 할 수 있습니다.

취약점의 기술적 파괴력과 우리 회사에서의 실제 위험은 같은 개념이 아닙니다.

그래서 CVSS는 버려야 할 지표가 아니라 다른 맥락과 결합해야 하는 중요한 출발점으로 이해하는 것이 좋습니다.

왜 회사에서는 취약점 경고가 수백·수천 개씩 쌓일까?

기업의 IT 환경은 예전보다 훨씬 복잡해졌습니다.

사내 PC만 관리하는 시대가 아닙니다.

서버와 클라우드 VM, 컨테이너, SaaS, API, VPN, 네트워크 장비, 오픈소스 라이브러리, 데이터베이스, 모바일 환경까지 서로 연결됩니다.

소프트웨어 하나에도 수십·수백 개의 의존성이 들어갈 수 있습니다.

따라서 스캐너가 발견한 모든 CVE를 같은 날 처리하겠다는 접근은 현실적으로 어려울 수 있습니다.

문제는 여기서 발생합니다.

경고가 많아지면 오히려 중요한 경고가 묻힙니다.

병원 응급실에 2,000명이 동시에 들어왔다고 생각해보세요.

접수 순서대로 치료하는 것이 최선일까요?

그렇지 않습니다.

응급실에는 Triage, 즉 환자의 긴급성과 상태에 따라 치료 우선순위를 정하는 과정이 있습니다.

위험 기반 취약점 관리도 본질적으로 비슷합니다.

취약점 우선순위 비교 분석｜수동 분류 vs CVSS 중심 vs AI 맥락 기반

구분	수동 분류	CVSS 점수 중심	AI 맥락 기반 우선순위
기본 판단	담당자가 직접 검토	CVSS 높은 순	여러 위험 신호를 종합
CVSS	참고 가능	핵심 기준	주요 입력값 중 하나
실제 악용 여부	사람이 확인	반영이 제한적일 수 있음	KEV·Threat Intelligence 등과 결합 가능
EPSS	별도 확인 필요	보통 별도 판단	악용 가능성 신호로 통합 가능
자산 중요도	경험 의존 가능	충분히 반영되지 않을 수 있음	Asset Criticality와 결합 가능
인터넷 노출	직접 조사	점수만으로는 조직별 노출을 알 수 없음	자산·노출 데이터와 결합 가능
처리 규모	많아질수록 부담 증가	빠른 정렬 가능	대규모 데이터 분류·보조에 유리
약점	느리고 개인 편차 발생	실제 조직 위험과 괴리 가능	데이터 품질·모델 오류·설명가능성 관리 필요
최종 패치	사람 결정	정책에 따라 결정	고위험 변경은 사람 승인 권장

※ 모바일 화면에서는 표를 좌우로 스크롤하여 전체 내용을 편하게 확인하실 수 있습니다.

여기서 핵심은 AI가 CVSS를 대체한다는 것이 아닙니다.

AI의 장점은 서로 떨어져 있던 위험 신호를 연결하는 데 있습니다.

CVSS vs EPSS 차이｜‘얼마나 심각한가?’와 ‘공격될 가능성이 얼마나 되는가?’

EPSS를 이용해 실제 악용 가능성을 확인하는 방법

EPSS(Exploit Prediction Scoring System)는 FIRST가 운영하는 데이터 기반 모델입니다.

EPSS는 공개된 CVE가 향후 30일 안에 실제 환경에서 악용될 확률을 추정하며 매일 업데이트됩니다. (FIRST)

초보자라면 이렇게 기억하면 쉽습니다.

CVSS = 사고가 발생했을 때 얼마나 심각할 수 있는가

EPSS = 가까운 기간에 실제 공격에 활용될 가능성이 어느 정도인가

완전히 같은 질문이 아닙니다.

태풍으로 비유하면 CVSS는 태풍의 잠재적인 위력에 가깝고, EPSS는 그 위험이 실제 우리 쪽으로 다가올 가능성을 판단하는 또 다른 정보와 비슷합니다.

물론 EPSS 역시 미래를 확정하는 예언점수가 아닙니다.

확률 기반의 우선순위 신호입니다.

그래서,

CVSS + EPSS

를 같이 보는 것이 의미가 있습니다.

하지만 여기에서도 하나가 더 빠져 있습니다.

이미 공격자가 실제로 사용하고 있다는 증거입니다.

CISA KEV란?｜‘실제로 악용된 적이 있는가?’를 확인하는 강력한 신호

Known Exploited Vulnerabilities를 패치 우선순위에 적용하는 방법

CISA는 Known Exploited Vulnerabilities, KEV Catalog를 운영합니다.

KEV는 실제 환경에서 악용된 것으로 알려진 취약점을 관리하는 카탈로그입니다.

CISA는 조직이 KEV Catalog를 취약점 관리 우선순위 프레임워크의 입력값으로 활용할 것을 권고합니다. (CISA)

이 차이는 큽니다.

취약점 A의 CVSS가 9.8입니다.

취약점 B는 8.1입니다.

숫자만 보면 A가 먼저입니다.

그런데 B가 KEV에 등재되어 있고 인터넷에 직접 노출된 회사의 인증 서버에서 발견됐다면 어떨까요?

이때는 B를 먼저 검토해야 할 강한 이유가 생깁니다.

따라서 위험 기반 Vulnerability Management는 단순한 숫자 정렬에서 벗어나야 합니다.

WSF 필자의 한 줄
“심각도는 취약점의 성격을 말해주지만, 우선순위는 그 취약점이 놓인 현실을 함께 봐야 결정됩니다.”

Asset Criticality｜똑같은 CVE라도 서버에 따라 우선순위가 달라집니다.

Asset Criticality, 즉 자산 중요도는 그 서버·서비스·데이터가 조직 운영에서 얼마나 중요한지를 평가하는 개념입니다.

회사에 PC가 1,000대 있다고 생각해보겠습니다.

회의실 예약용 PC.

고객 개인정보를 처리하는 서버.

급여 시스템.

인터넷 쇼핑몰 결제 서버.

개발자의 테스트 VM.

모두 같은 자산일까요?

아닙니다.

같은 CVE가 발견돼도 침해됐을 때 발생하는 업무 영향이 다릅니다.

그래서 조직은 자산을 평가할 때 단순히,

“서버인가 PC인가?”

에서 끝내지 않고,

어떤 데이터를 처리하는가

업무 중단 시 어떤 서비스가 멈추는가

고객·매출·안전에 미치는 영향은 어느 정도인가

관리자 권한이나 다른 핵심 시스템으로 연결되는가

등을 함께 살펴볼 필요가 있습니다.

이것이 CVSS만으로는 해결하기 어려운 부분입니다.

인터넷 노출 여부｜같은 취약점의 위험을 완전히 바꾸는 조건

회사 내부에서만 접근할 수 있는 서버와 인터넷에서 누구나 접속을 시도할 수 있는 서버는 공격 표면이 다릅니다.

여기서 Attack Surface, 공격 표면이라는 용어가 등장합니다.

집으로 비유하면 이해하기 쉽습니다.

똑같이 약한 자물쇠가 있어도,

지하창고 안쪽의 잠긴 문에 달린 경우와

대로변에 바로 노출된 현관문에 달린 경우는 위험 맥락이 다릅니다.

그래서 취약점 우선순위에는,

외부 인터넷 노출 여부,

공개 포트와 서비스,

인증 필요 여부,

네트워크 경로,

기존 방화벽·WAF·EDR 등의 보안통제

같은 정보를 함께 고려할 필요가 있습니다.

이 지점에서 Attack Surface Management(ASM)와 External Attack Surface Management(EASM)가 취약점 관리와 연결됩니다.

AI 취약점 우선순위 자동화｜어떤 정보를 결합해야 할까?

이제 앞의 조각들을 하나로 모아보겠습니다.

AI 기반 취약점 관리가 의미 있으려면 단순히 CVE 목록을 LLM에 넣고 “위험한 순서로 정렬해줘”라고 요청하는 수준을 넘어야 합니다.

실무적인 위험 판단은 대략 다음과 같은 구조로 생각할 수 있습니다.

Priority ≠ CVSS

오히려,

Priority = Severity + Exploitability + Exploitation Evidence + Asset Criticality + Exposure + Threat Context + Security Controls + Business Impact

에 가깝습니다.

이것은 공식 표준 산식이 아니라 이 글에서 위험 기반 우선순위를 이해하기 위해 제시하는 개념적 모델입니다.

가령 AI 시스템은,

CVSS 9.8

EPSS 낮음

KEV 미등재

외부 노출 없음

테스트 자산

강한 네트워크 격리

인 취약점과,

CVSS 8.1

EPSS 높음

KEV 등재

인터넷 노출

고객 인증 시스템

중요 데이터 접근 가능

인 취약점을 서로 다른 우선순위로 제안할 수 있습니다.

이것이 AI가 단순 점수 정렬보다 가치를 만들 수 있는 부분입니다.

CISA SSVC가 보여주는 중요한 변화｜‘점수 하나’보다 의사결정 맥락

CISA의 Stakeholder-Specific Vulnerability Categorization(SSVC) 역시 흥미로운 참고 모델입니다.

SSVC는 취약점을 단순한 하나의 숫자로만 줄이기보다 Exploitation, Automatable, Technical Impact, Mission & Well-Being Impact 등의 의사결정 요소를 이용해 대응 방향을 구분합니다. (CISA)

이 접근이 중요한 이유는 명확합니다.

취약점 관리의 목적은 멋진 위험점수를 만드는 것이 아닙니다.

“그래서 지금 무엇을 해야 하는가?”

라는 행동으로 연결하는 것입니다.

Risk-Based Vulnerability Management가 점점 중요해지는 이유도 여기에 있습니다.

Threat Intelligence｜어제 낮았던 취약점이 오늘 급해질 수 있습니다.

보안 위험은 정지된 사진이 아닙니다.

영화에 가깝습니다.

어제까지 공개 Exploit이 없던 CVE에 공격 코드가 등장할 수 있습니다.

공격 캠페인에서 사용되기 시작할 수도 있습니다.

KEV에 새롭게 추가될 수도 있습니다.

EPSS가 변할 수도 있습니다.

따라서 취약점 우선순위는 한 번 계산하고 끝내는 것이 아니라 새로운 위협정보가 들어올 때 다시 평가할 수 있어야 합니다.

이런 구조에서 AI의 장점이 나타납니다.

수천 개 CVE와 자산정보, 위협 인텔리전스의 변화를 사람이 매일 처음부터 읽기는 어렵지만 AI와 자동화 시스템은 변화 탐지와 분류를 보조할 수 있습니다.

다만 여기서 또 하나의 반전이 기다리고 있습니다.

AI가 우선순위를 잘 정했다고 자동패치까지 맡겨도 될까?

답은 신중해야 합니다.

분석 자동화와 변경 자동화는 서로 다른 위험을 갖기 때문입니다.

AI가,

“이 취약점은 가장 위험하므로 지금 패치하세요.”

라고 올바르게 판단했다고 가정해보겠습니다.

그렇다고 운영 중인 핵심 데이터베이스에 즉시 패치를 적용해도 된다는 뜻은 아닙니다.

패치 자체가 서비스 장애를 만들 수 있습니다.

애플리케이션 호환성이 깨질 수도 있습니다.

드라이버나 라이브러리 충돌이 발생할 수도 있습니다.

그래서 성숙한 구조에서는,

탐지 → 위험평가 → 우선순위 제안 → 변경 영향 확인 → 테스트 → 승인 → 배포 → 검증 → 필요 시 복구

라는 흐름을 설계하는 것이 안전합니다.

Human-in-the-Loop｜AI 시대에도 사람 승인이 필요한 이유

NIST가 2026년 AI Agent Security 관련 의견을 분석한 보고서에서도 중요한 방향을 확인할 수 있습니다.

2026년 5월 발표된 NIST의 RFI 응답 분석에서는 참여자들이 AI Agent가 새로운 보안위협을 제기한다는 데 폭넓게 동의했으며, 기존의 기본적인 사이버보안 원칙은 여전히 유효하지만 Agent Security에 맞게 조정할 필요가 있다는 의견이 광범위하게 제시됐습니다. (NIST)

NIST Cyber AI Profile 역시 기존 CSF 같은 프레임워크를 AI로 인해 새로 생기거나 확대되는 위험에 어떻게 적용할지를 검토하고 있습니다. (NCCoE)

취약점 관리에서도 비슷한 철학이 필요합니다.

AI가 분석을 빠르게 만들 수는 있습니다.

그러나 업무 중단 가능성이 큰 패치, 중요 데이터베이스 변경, 인증 시스템 업데이트 등에서는 사람이 영향도를 검토하고 승인하는 통제 구조가 여전히 중요합니다.

Human-in-the-Loop는 AI를 못 믿어서 붙이는 브레이크라기보다, 자동화의 속도와 조직의 책임을 연결하는 안전장치라고 보는 편이 좋습니다.

Rollback과 복구계획｜패치의 성공 기준은 ‘설치 완료’가 아닙니다.

패치를 적용했습니다.

콘솔에는 초록색으로 SUCCESS가 뜹니다.

그럼 끝일까요?

아닙니다.

서비스가 정상 작동하는지 확인해야 합니다.

보안 취약점이 실제로 제거됐는지도 다시 검사해야 합니다.

문제가 생겼을 때 이전 상태로 돌아갈 방법도 준비해야 합니다.

이것이 Rollback과 복구계획입니다.

특히 자동패치 범위를 확대할수록,

백업,

스냅샷,

버전관리,

단계적 배포,

Canary Deployment,

Rollback 조건,

변경 로그

등이 중요해집니다.

WSF 필자의 한 줄
“좋은 자동화는 실패하지 않는 시스템이 아니라, 실패했을 때 멈추고 되돌아갈 길까지 알고 있는 시스템입니다.”

NIST가 바라보는 AI Cyber Defense｜AI는 보호 대상이면서 방어 도구이기도 합니다.

NIST의 Preliminary Cyber AI Profile은 세 가지 축을 제시합니다.

AI 시스템 구성요소를 보호하는 Secure.

AI를 이용해 사이버 방어 역량을 강화하는 Defend.

AI를 이용한 사이버 공격을 억제·대응하는 Thwart입니다. (NIST Computer Security Resource Center)

2026년 8월 발표된 NIST IR 8607도 정부·산업·학계가 참여한 Cyber AI Profile 워크숍 논의를 정리하면서 AI 공격표면, 위험 기반 가이드, 거버넌스와 함께 AI-enabled cyber defense opportunities를 주요 논의 주제로 기록했습니다. (NIST Computer Security Resource Center)

따라서 AI 기반 Vulnerability Management는 더 큰 흐름의 일부로 이해할 수 있습니다.

AI가 로그와 위협정보를 분석하고,

이상징후를 분류하고,

취약점의 맥락을 연결하고,

대응 후보를 제안하는 방향입니다.

다만 NIST Cyber AI Profile은 현재 발전 중인 작업이라는 점도 중요합니다. 공개된 IR 8596은 Preliminary Draft이며, 이를 이미 확정된 최종 보안표준처럼 표현해서는 안 됩니다. (NIST Computer Security Resource Center)

Exposure Management와 CTEM｜‘취약점 개수 줄이기’에서 ‘실제 공격경로 줄이기’로

취약점 관리가 발전하면 질문 자체가 달라집니다.

예전에는,

“CVE가 몇 개 남았는가?”

가 중요했다면,

더 성숙한 환경에서는,

“공격자가 실제로 우리 핵심 자산까지 도달할 수 있는 경로가 어디인가?”

를 묻게 됩니다.

이것이 Exposure Management의 핵심 아이디어와 연결됩니다.

CTEM, 즉 Continuous Threat Exposure Management라는 용어도 이런 맥락에서 자주 등장합니다.

중요한 것은 유행어를 많이 쓰는 것이 아닙니다.

취약점 숫자를 줄이는 활동과 실제 공격 가능한 노출을 줄이는 활동은 완전히 같지 않다는 점을 이해하는 것입니다.

2,000개의 낮은 위험 경고를 처리하느라 인터넷에 노출된 핵심 시스템의 실제 악용 취약점 하나를 놓친다면 숫자는 좋아져도 보안은 좋아졌다고 말하기 어렵습니다.

AI 기반 패치 우선순위 실전 체크리스트

취약점이 수백·수천 개 발견됐을 때는 CVSS 높은 순으로 바로 패치하기 전에 다음 질문을 함께 확인해보세요.

CVE/CVSS: 기술적 심각도는 어느 정도인가?

EPSS: 가까운 기간의 실제 악용 가능성 신호는 어떠한가?

CISA KEV: 실제 악용이 확인된 취약점인가?

Asset Criticality: 이 자산이 중단되거나 침해되면 사업에 어떤 영향을 미치는가?

Exposure: 인터넷 또는 공격 가능한 네트워크 경로에 노출되어 있는가?

Threat Intelligence: 현재 공격 캠페인이나 Exploit 정보가 존재하는가?

Security Controls: WAF·EDR·방화벽·네트워크 격리 같은 완화통제가 있는가?

Remediation Impact: 패치가 서비스 장애를 일으킬 가능성은 어느 정도인가?

Human Approval: 중요 시스템의 변경을 누가 승인하는가?

Recovery: 패치 실패 시 Rollback과 복구가 가능한가?

이 열 가지를 연결하면 취약점 관리는 단순한 점수 관리에서 위험 관리로 바뀝니다.

보안 자동화가 일상의 작은 행복과 무슨 관계가 있을까?

보안은 평소에는 눈에 보이지 않습니다.

온라인 쇼핑몰에서 결제 버튼을 누르고,

병원 앱으로 예약하고,

퇴근길 휴대전화로 회사 메일을 확인하고,

주말 저녁 가족사진을 클라우드에 올립니다.

아무 일도 일어나지 않으면 우리는 보안을 거의 의식하지 않습니다.

그런데 어쩌면 그것이 보안의 가장 좋은 결과일 수 있습니다.

새벽마다 수천 개의 경고를 사람이 하나씩 읽어야 한다면 보안팀은 쉽게 지칩니다.

중요한 경고를 놓칠 가능성도 커집니다.

AI가 반복적인 분류와 정보 연결을 보조하고 사람이 정말 중요한 판단에 집중할 수 있다면 기술은 단순히 ‘더 빠른 보안’을 만드는 데서 끝나지 않습니다.

서비스를 사용하는 평범한 사람에게는 아무 일 없이 지나가는 평범한 하루를 지키는 데 도움을 줄 수 있습니다.

AI 취약점 관리 FAQ

CVSS가 10점이면 무조건 가장 먼저 패치해야 하나요?

반드시 그렇다고 단정할 수 없습니다. NVD도 CVSS를 위험 자체가 아니라 취약점 심각도의 측정 방법으로 설명합니다. 실제 우선순위에는 악용 가능성, KEV 등재 여부, 자산 중요도, 인터넷 노출, 보안통제와 업무 영향을 함께 고려하는 것이 좋습니다. (NVD)

CVSS와 EPSS의 가장 큰 차이는 무엇인가요?

CVSS는 취약점의 기술적 심각도를 표현하고, EPSS는 공개된 CVE가 향후 30일 동안 실제 환경에서 악용될 확률을 추정합니다. 두 지표는 경쟁관계라기보다 서로 다른 질문에 답합니다. (FIRST)

CISA KEV는 왜 중요한가요?

KEV는 실제 환경에서 악용된 것으로 알려진 취약점을 모은 CISA의 카탈로그입니다. CISA도 이를 조직의 취약점 관리 우선순위 프레임워크에 활용할 것을 권고합니다. (CISA)

AI가 패치까지 자동으로 적용하도록 하면 더 효율적이지 않나요?

일부 환경에서는 자동화가 유용할 수 있지만 분석과 실제 시스템 변경은 위험도가 다릅니다. 핵심 서비스는 테스트, 변경 승인, 단계적 배포, 검증과 복구계획을 함께 설계하는 것이 중요합니다.

AI 취약점 관리가 보안 담당자를 대체하나요?

그렇게 보는 것보다 방대한 CVE·자산·위협정보를 연결하고 분류하는 업무를 보조해 담당자가 중요한 판단에 집중하도록 만드는 방향이 현실적입니다. 특히 최종 위험 수용과 핵심 시스템 변경에는 조직의 책임과 사람이 개입하는 통제가 필요합니다.

필자의 주관적인 마무리 의견

제가 취약점 관리에서 가장 경계하는 숫자는 의외로 CVSS 10점이 아닙니다. ‘미처 확인하지 못한 맥락’입니다.

취약점이 2,000개라는 숫자는 무섭습니다. 하지만 더 중요한 질문은 그 2,000개 가운데 어떤 취약점이 외부에 노출돼 있고, 어떤 것이 실제로 악용되고 있으며, 어떤 자산이 고객정보나 핵심 업무와 연결되어 있는가입니다.

그래서 저는 AI 기반 취약점 관리의 진짜 가치를 ‘패치를 대신 해주는 AI’에서 찾기보다 사람이 놓치기 쉬운 관계를 연결해주는 AI에서 찾고 싶습니다. CVSS와 EPSS, KEV와 Asset Criticality, 인터넷 노출과 Threat Intelligence가 서로 연결되는 순간 보안팀은 단순히 빨간 경고 숫자를 줄이는 것보다 실제 위험을 줄이는 일에 집중할 수 있습니다.

동시에 AI의 판단을 무조건 신뢰해서도 안 됩니다. 데이터가 오래됐거나 자산정보가 잘못 연결돼 있으면 우선순위 역시 틀릴 수 있습니다. 그래서 설명 가능한 판단 근거, 사람 승인, 변경 로그와 Rollback이 함께 있어야 합니다.

특히 자동화가 발전할수록 저는 ‘얼마나 빨리 고칠 수 있는가’와 함께 ‘잘못 고쳤을 때 얼마나 안전하게 되돌릴 수 있는가’를 같은 수준으로 봐야 한다고 생각합니다.

좋은 Vulnerability Management는 CVE를 모두 없애겠다는 약속이 아닙니다. 제한된 시간과 인력 안에서 조직에 가장 큰 위험부터 합리적으로 줄여나가는 과정에 가깝습니다.

그리고 AI는 그 판단을 더 빠르고 일관되게 만드는 강력한 조력자가 될 수 있지만, 최종 목표는 AI 자동화 자체가 아닙니다.

목표는 기술이 복잡해져도 사람이 안심하고 일하고 서비스를 사용할 수 있는 환경을 만드는 것입니다.

공식 출처 및 신뢰도 자료

NIST NVD — CVSS Vulnerability Metrics
NIST NVD는 CVSS가 취약점의 severity를 측정하는 체계이며 risk 자체의 측정치는 아니다라고 명시합니다. 이번 글에서 CVSS 단독 우선순위를 경계하는 가장 중요한 근거입니다. (NVD)
NIST NVD Vulnerability Metrics 공식 자료

NIST — Cybersecurity Framework Profile for Artificial Intelligence, IR 8596 Preliminary Draft
AI 시스템 보호뿐 아니라 AI-enabled Cyber Defense와 AI 기반 공격 대응을 다루는 NIST Cyber AI Profile의 공식 초안입니다. (NIST Computer Security Resource Center)
NIST Cyber AI Profile 공식 페이지

NIST — AI Agent Security RFI Response Analysis
2026년 5월 발표된 NIST 보고서로, AI Agent의 새로운 보안위협과 기존 사이버보안 원칙을 Agent 환경에 맞게 조정할 필요가 있다는 제출 의견들을 정리합니다. (NIST)
NIST AI Agent Security 공식 보고서

NIST IR 8607 — Cyber AI Profile Workshop #2
정부·산업·학계의 논의를 바탕으로 AI 공격표면, 위험 기반 가이드와 AI-enabled cyber defense 등의 주요 논점을 정리한 2026년 8월 최종 보고서입니다. (NIST Computer Security Resource Center)
NIST IR 8607 공식 페이지

CISA — Known Exploited Vulnerabilities Catalog
실제 환경에서 악용된 것으로 알려진 취약점을 확인하고 패치 우선순위를 정하는 데 사용할 수 있는 공식 자료입니다. (CISA)
CISA KEV Catalog 공식 페이지

CISA — Stakeholder-Specific Vulnerability Categorization
CVSS 하나만으로 우선순위를 결정하지 않고 Exploitation과 기술·임무 영향을 함께 고려하는 의사결정 모델을 이해하는 데 유용합니다. (CISA)
CISA SSVC 공식 가이드

FIRST — Exploit Prediction Scoring System
EPSS는 공개 CVE가 향후 30일 동안 실제 환경에서 악용될 가능성을 추정하는 데이터 기반 모델입니다. (FIRST)
FIRST EPSS 공식 페이지