AI 공격엔 AI 방어…프로젝트 캐노피, 취약점 인텔리전스 허브 공개

‘취약점 인텔리전스 허브’의 메인 페이지 화면 중 일부. 프로젝트 캐노피 제공 공격자가 인공지능(AI) 활용해 보안 취약점을 파고드는 속도가 빨라지는 가운데, AI 보안 이니셔티브 ‘프로젝트 캐노피(Project Canopy)’가 오픈소스 보안 결함과 패치 현황을 한곳에 모은 플랫폼을 공개했다.3일 프로젝트 캐노피는 보안 취약점 선제 조치를 위한 전용 플랫폼 ‘취약점 인텔리전스 허브’를 열었다고 밝혔다.프로젝트 캐노피는 사단법인 ‘프로젝트 플라즈마’가 운영하는 AI 보안 공익 사업이다. 프로젝트 플라즈마는 사이버보안 기업 티오리가 주축이 돼 설립한 비영리 단체로, 화이트해커 연구 지원과 보안 인재 생태계 조성, 공익적 보안 기술 확산을 목표로 한다.취약점 인텔리전스 허브는 연구팀이 검증한 취약점 내역과 위험도, 공식 패치, 보안 권고문을 보고 곧바로 조치할 수 있는 플랫폼이다. 참여 기관과 기업은 자체 시스템에서 사용하는 오픈소스의 취약점 및 패치 현황을 파악해 조치할 수 있다.위험도 평가에는 다차원 지표가 적용된다. 지표는 취약점 심각도 점수(CVSS), 향후 악용 가능성(EPSS), 실제 악용 여부(KEV) 세 가지다.● 핵심 오픈소스 취약점, 직접 찾아 조치한다프로젝트 캐노피 연구팀은 그동안 공공 서비스의 기반인 ‘전자정부 표준프레임워크(eGovFrame)’를 시작으로 국내외 핵심 오픈소스를 분석해 왔다. 스프링 프레임워크·부트, 도커, 라이트LLM, 그라파나, 이스티오, libdb, python.org 등이다.이 과정에서 위협이 될 수 있는 취약점 후보를 여럿 찾아 개념증명(PoC)까지 마쳤다. 고위험 사안을 포함한 취약점 내역을 각 프로젝트 관리자(메인테이너)에게 차례로 제보했다.프로젝트 캐노피는 “일부 핵심 사안은 조치가 끝났으며, 나머지 항목은 공식 보안 패치 배포 시점에 맞춰 공개할 예정”이라고 밝혔다. 공개는 국제 표준 보안 지침 ‘책임 있는 공시(CVD·Coordinated Vulnerability Disclosure)’를 따른다.● 점검 대상 직접 고르는 수요 기반 구조 도입프로젝트 캐노피는 참여 기관·기업이 점검받을 소프트웨어를 직접 신청하는 ‘수요 기반 참여형 구조’도 도입했다. 기관·기업이 실제 업무에 쓰는 오픈소스나 점검이 급한 소프트웨어를 요청하면 연구팀이 이를 심사해 분석 순서를 정한다.심사 기준은 △사용자 규모 △취약점이 나왔을 때 패치로 대응할 역량과 과거 보안 사고 이력 △사...