프로젝트 캐노피, ‘취약점 인텔리전스 허브’ 가동…오픈소스 취약점 선제 대응

- CVSS·EPSS·KEV 위험도 지표와 공식 패치·보안 권고 제공…기관·기업 요청받아 분석 대상 선정

 

사단법인 프로젝트 플라즈마가 운영하는 AI 보안 공익 이니셔티브 ‘프로젝트 캐노피(Project Canopy)’가 핵심 오픈소스 소프트웨어의 취약점과 패치 정보를 제공하는 ‘취약점 인텔리전스 허브’를 가동한다. 연구팀이 검증한 취약점과 위험도 지표, 공식 패치, 보안 권고문을 제공해 참여 기관과 기업이 자사 시스템과 연결된 오픈소스의 결함과 패치 현황을 파악하고 선제적인 방어 조치를 취하도록 지원한다.

 

핵심 오픈소스 취약점 탐색·검증

최근 공격자들이 AI 기술을 활용하면서 시스템의 취약점을 탐색하고 침투하는 속도가 빨라지고 있다. 프로젝트 캐노피는 AI 기반 오펜시브 보안 기술을 활용해 국가 행정망과 대국민 서비스의 기반이 되는 오픈소스와 민생 인프라의 보안 사각지대를 찾아 분석해 왔다.

 

연구팀은 대한민국 공공 서비스의 기반인 eGovFrame을 시작으로 스프링 프레임워크·부트(Spring Framework/Boot), 도커(Docker), 라이트LLM(LiteLLM), 그라파나(Grafana), 이스티오(Istio), libdb, python.org 등 국내외 주요 오픈소스 프로젝트를 심층 분석했다. 잠재적 위협이 될 수 있는 취약점 후보를 발굴해 개념증명(PoC)을 마쳤으며, 고위험군을 포함한 취약점 내역을 각 프로젝트 메인테이너에게 순차적으로 제보했다.

 

일부 핵심 조치는 완료됐으며 나머지 항목은 글로벌 표준 보안 규정인 책임 있는 공시(CVD) 가이드라인에 따라 공식 보안 패치 배포 시점에 맞춰 순차 공개할 예정이다.

 

CVSS·EPSS·KEV 기반 취약점 정보 제공

취약점 인텔리전스 허브는 연구팀이 검증한 취약점 내역과 다차원 위험도 지표(CVSS·EPSS·KEV), 공식 패치 및 보안 권고문(Advisory)을 한곳에서 제공한다. 참여 기관과 기업은 허브를 통해 자사 시스템에 직결된 오픈소스 결함과 패치 현황을 실시간으로 파악하고 선제적인 방어 조치를 취할 수 있다.

 

기관·기업이 분석 대상 직접 제안

프로젝트 캐노피는 참여 기관과 기업이 분석 대상을 직접 제안하는 수요 기반 참여 방식을 도입했다. 실무에서 사용하는 오픈소스나 점검이 시급한 소프트웨어를 요청하면 연구팀이 사용자 규모와 패치 대응력·사고 이력 등 사각지대 여부, 사회적 필요도를 종합 평가해 우선순위를 정하고 집중 분석에 착수한다.

 

프로젝트 캐노피는 지자체와 공공기관뿐 아니라 전담 보안 예산과 전문 인력이 상대적으로 부족한 의료·교육 등 국민 생활과 밀접한 민생 인프라 분야로 협력 범위를 넓힐 계획이다. 가입을 희망하는 기관과 기업이라면 누구나 참여할 수 있다.

 

프로젝트 캐노피 박세준 위원장은 “공격자가 AI의 속도로 취약점을 파고드는 환경에서, 방어자 역시 선제적으로 AI 역량을 투입해 위협을 먼저 제거해야 한다”며 “프로젝트 캐노피는 자금과 인력 부족으로 보안 사각지대에 놓이기 쉬운 민생 인프라와 오픈소스 생태계를 지키기 위한 공익 이니셔티브로서, 안전하고 지속 가능한 디지털 사회 안전망을 구축하는 데 앞장설 것”이라고 밝혔다.

 

#프로젝트캐노피 #프로젝트플라즈마 #취약점인텔리전스허브 #AI보안 #오픈소스보안 #오픈소스 #취약점 #CVSS #EPSS #KEV #사이버보안