- AI로 공통 컴포넌트 전수 분석…인증 우회·임의 SQL 실행·파일 탈취 등 확인
사단법인 프로젝트 플라즈마가 공익 AI 보안 이니셔티브 ‘프로젝트 캐노피(Project Canopy)’의 첫 번째 분석 결과를 공개했다. 전자정부 표준프레임워크(eGovFrame)의 기존 모놀리식·신규 마이크로서비스 아키텍처(MSA)용 공통 컴포넌트를 AI로 전수 분석해 보안 취약점 990건을 식별했으며, 현재 300여 건의 보안 패치가 완료됐다.
1,300여 건 후보에서 취약점 990건 식별
프로젝트 캐노피는 AI 기반 자동화 분석 엔진으로 1,300여 건의 취약점 후보를 탐지한 뒤 자체 정제 시스템을 거쳐 중복과 오탐을 걸러냈다. 최종 식별한 990건은 시스템 오류와 권한 상승 등을 일으킬 수 있는 결함과 보안 취약점이며, 이 가운데 10%는 ‘심각(Critical)’ 또는 ‘높음(High)’ 등급으로 분류됐다. 주요 취약점에는 비밀번호 없이 임의 계정으로 접속하는 인증 우회, 일반 사용자가 서버 권한으로 데이터베이스를 조작하는 임의 SQL 실행, 고정 암호키 노출에 따른 파일 탈취, 권한 상승 공격으로 이어질 수 있는 안전하지 않은 직접 객체 참조(IDOR/BOLA) 등이 포함됐다.
복제된 코드에 패치 전달 끊기는 ‘패치 고립’
전자정부 표준프레임워크는 외부 라이브러리처럼 선언을 변경해 업데이트하는 방식이 아니라 소스 코드를 복사해 사용하는 템플릿 형태를 적용한다. 원본 코드에 보안 패치를 적용해도 여러 시스템에 복제된 코드에는 수정 사항이 자동으로 전달되지 않아 취약점이 장기간 남는 ‘패치 고립’이 발생할 수 있다. 전자정부 표준프레임워크의 공통 컴포넌트는 정부와 공공·민간 시스템통합(SI) 사업에서 활용되고 있다. 같은 코드가 여러 다운스트림 시스템에 복제되는 만큼 내부 취약점 하나가 다수의 공공·민간 서비스에 영향을 줄 수 있다.
AI 탐지 이후 검증·패치 대기열 병목
프로젝트 캐노피는 이번 결과가 일반 거대언어모델(LLM)이 생성한 원시 결과가 아니라 자체 시스템 분석 엔진으로 오탐 가능성이 높은 항목을 걸러낸 정제 데이터라고 설명했다. 사람이 장기간 검토해야 할 대규모 코드에서 AI가 악용 가능한 취약점 후보를 찾아내 탐지 단계의 처리 범위를 넓혔다. 다만 AI가 탐지한 후보를 사람이 선별하고 실제 패치로 연결하는 과정에서는 대기열 병목이 발생하고 있다. 관련 기관들은 공식 제보된 취약점을 패치해 최신 브랜치에 반영하고 있다.
프로젝트 캐노피 관계자는 “탐지 자동화는 성공했으나 이제 진짜 과제는 다음 단계에 있다”며 “방대한 취약점 후보군을 누가 꼼꼼히 선별하고 어떻게 고칠 것인지에 대한 답을 찾는 것이 프로젝트 캐노피의 궁극적인 목적”이라고 밝혔다.
파트너 회원사에 취약점·패치 정보 선제 제공
프로젝트 캐노피 파트너 회원사에는 조치 대기 중인 취약점과 적용된 패치 정보를 먼저 제공한다. 가입 기업과 기관은 자사 시스템 공급망에 영향을 줄 수 있는 위험을 사전에 확인하고 대응할 수 있다.
프로젝트 캐노피 박세준 위원장은 “전자정부 표준프레임워크 기반 시스템을 운영하는 기업과 기관은 이번 분석 결과를 참고해 보안 조치를 취해야 한다”며 “AI가 취약점을 찾아도 검증과 패치 전파에는 협업이 필요한 만큼 기업과 연구자의 참여를 기대한다”고 밝혔다.
프로젝트 캐노피는 전자정부 표준프레임워크에 이어 국내외에서 널리 사용하는 다른 오픈소스 소프트웨어도 정기적으로 분석할 계획이다.
#프로젝트플라즈마 #프로젝트캐노피 #전자정부표준프레임워크 #eGovFrame #AI보안 #오픈소스보안 #소프트웨어공급망 #취약점분석 #보안패치 #공공소프트웨어
