AI 공격자 시대, 보안 패치에도 패치가 필요하다

무슨 일이 있었나

AI 보안 스타트업 Terra Security가 공개된 보안 기록을 살펴보았습니다. 그 결과 2026년에 깨지는 보안 패치가 늘어난 것을 발견했습니다. 여기서 '깨졌다'는 말은 공격자가 패치를 우회하는 방법을 찾았다는 뜻입니다. 몇 년 동안 드물었던 일이 올해 크게 늘었습니다.

주요 숫자

• 2019년부터 2025년까지 GitHub 보안 패치 중 약 0.2퍼센트가 90일 안에 패치 실패 보고가 뒤따랐습니다.
• 2026년에는 이 수치가 2.3퍼센트로 뛰었습니다.
• 패치가 깨진 버그는 미국 CISA의 '악용이 확인된 취약점 목록'(공격자가 실제로 쓰고 있는 버그 목록)에 오를 가능성이 약 4배 높았습니다.
• 깨진 패치 버그 중 프로토타입 오염 버그는 전체 비율보다 약 11배, 서버 측 요청 위조 버그는 약 4.6배 많았습니다.
• 리눅스 커널 버그 중 3.2퍼센트는 다른 버그를 고치는 패치 때문에 생겼습니다.

실제 사례

러시아 정부 스파이들은 Windows 기능의 제로데이 버그(아직 고침이 없는 결함)를 이용했습니다. 마이크로소프트가 2월에 낸 첫 패치는 불완전했습니다. 이후 두 번째 결함이 발견되어 쓰였고, 마이크로소프트는 4월에야 이를 고쳤습니다.

왜 중요한가

대부분의 사람은 안전하려고 소프트웨어를 업데이트합니다. 그런데 업데이트 자체에 구멍이 있으면 사람들은 여전히 위험에 노출됩니다. 연구진은 소프트웨어 회사와 IT 담당자가 패치가 근본 원인을 해결하는지, 같은 종류의 버그 전체를 막는지, 다른 것을 망가뜨리지 않는지 확인해야 한다고 말합니다.

앞으로 지켜볼 점

• 소프트웨어 회사들이 특히 프로토타입 오염과 서버 측 요청 위조 버그에 대한 패치 작성 방식을 바꾸는지.
• 2026년 나머지 기간에도 깨진 패치가 계속 늘어나는지.
• IT 팀이 패치를 설치하기 전에 어떻게 검증하는지.