Defense in Depth, Rebuilt for Machine Speed

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

a16z는 AI로 익스플로잇 개발이 빨라져 패치가 공격 속도를 따라가기 어려워진 만큼, 패치 없이도 작동하는 다층 방어와 검증된 복구 능력이 중요해진다고 주장한다.

📌 핵심 요약

• 2025~2026년에는 취약점을 실제 공격으로 전환하는 작업이 저렴해졌지만 패치 속도는 개선되지 않았다. 2026년 Verizon 보고서의 완전한 조치까지 걸린 기간 중앙값은 43일이었으며, PHP 취약점 사례에서는 공개 4일 전부터 공격 시도가 시작됐지만 일부 호스팅·콘텐츠 전송 업체가 패치 전에 공격을 차단했다.
• 산업 제어 시스템, 의료기기, 구형 차량과 각종 연결 장치는 유지보수·인증·지원 종료 등의 제약으로 신속한 패치가 어렵다. 원문은 인터넷 노출 제거, 네트워크 분리, 네트워크에서의 공격 차단, 취약점 유형 자체의 제거라는 네 가지 방어를 제시하고 안전한 대체 운영과 노후 장비 교체를 함께 강조한다.
• 백업도 주요 공격 대상이다. Sophos의 2024년 랜섬웨어 피해자 조사에서는 94%가 백업 침해 시도를 겪었고 그 시도의 57%가 성공했다. Veeam의 2026년 조사에서는 리더의 90%가 복구 목표 달성을 자신했지만 피해자의 28%만 모든 데이터를 되찾아, 백업 보유보다 실제 복원 검증이 중요하다는 것이 원문의 주장이다.
• 대형 플랫폼은 다수 시스템을 빠르게 보호할 수 있지만 집중에 따른 장애와 주권 문제가 생긴다. 최대 콘텐츠 전송 네트워크는 전체 웹사이트의 약 4분의 1 앞단에 있으며, 2024년 7월 CrowdStrike의 잘못된 업데이트는 약 850만 대의 Windows 기기를 중단시켰다. 원문은 소유자가 대응하지 않는 장비에 대한 외부 개입도 시민적 자유와의 절충을 논의해야 한다고 본다.
• a16z는 취약점 발견, 실행 중인 시스템 보호, 수정 검증을 하나의 제품으로 연결하고 패치 필요성을 줄이거나 다른 주체가 맡도록 하는 사업 범주에 기회가 있다고 본다. 최소 6개 기회를 예고하지만 제공된 본문은 첫 항목 도입부에서 끊겨 구체적인 기회 목록은 확인할 수 없다.

🧩 주요 포인트

1. 공격은 수시간, 조치는 수주 이상이라는 속도 차이 → 패치 속도 개선만으로는 부족하며 취약한 상태에서도 공격을 막는 방어가 중요해진다는 논리다.
2. 패치가 어려운 연결 장치와 백업 침해의 확산 → 장비 외부의 접근 통제부터 안전한 대체 운영, 실제 복원 검증까지 방어의 범위가 넓어진다.
3. 대형 플랫폼의 보호 효과와 집중 위험이 동시 확대 → 통합 보안 제품의 사업 기회와 함께 장애 책임, 적용 규칙, 외부 개입의 정당성 문제가 커진다.

🧠 상세 정리

1. 공격과 패치 사이의 속도 차이

원문은 2025~2026년에 버그를 실제 익스플로잇으로 바꾸는 숙련 작업이 저렴해졌지만, 패치는 여전히 사람의 판단과 배포 절차에 묶여 있다는 문제에서 출발한다. 10월 PHP의 중대 취약점 두 건은 수정 전에 유출돼 공개 4일 전부터 공격 시도가 발생했으며, 호스팅·콘텐츠 전송 업체의 보호 밖에 있던 설치본 260만~440만 개는 노출된 상태였고 대부분은 수정이 나오지 않을 버전이었다. 2026년 Verizon 보고서는 완전한 조치까지 걸린 기간 중앙값을 43일로 제시하고, 데이터셋에서 악용이 확인된 취약점의 26%만 완전히 조치됐다고 밝혔다. Veracode의 2025년 보고서에서는 결함 수정까지 평균 252일이 걸려 5년 전의 171일보다 길어졌다. 반면 Anthropic은 10월에 미공개 모델이 이미 상위 프로젝트에서 수정된 Linux 커널 버그에 대해 로그인 없이 원격으로 작동하는 익스플로잇을 만들었으며, 주요 서버 배포판 두 곳에는 아직 수정 패키지가 없었다고 보고했다. Red Hat은 타이밍 경쟁을 성공시키기 어렵다는 이유로 이 버그를 보통 등급으로 평가했지만 모델은 1시간 안에 성공했고, 원문은 서로 다른 지표를 정확한 배수보다 규모 차이로 읽어야 한다고 덧붙인다. 패치 배포 자체에도 장애 위험이 있어, 저자들은 더 열심히 패치하는 것만으로 격차를 닫기보다 패치 전에도 보호가 작동하도록 해야 한다고 주장한다.

2. 신속한 패치가 구조적으로 어려운 장비

패치의 한계는 고장이 물리적 피해로 이어지는 장비에서 가장 선명하게 나타나며, 산업 제어 시스템은 공급업체의 회귀 테스트를 거친 뒤 흔히 연간 유지보수 기간에 업데이트된다. Dragos에 따르면 2025년 산업 보안 권고의 약 4분의 1에는 패치나 완화책이 전혀 없었고, 산업 취약점 중 즉시 조치가 필요한 비중은 2%였으며 미국 전력망 규칙은 패치 평가에 35일, 적용에 추가 35일을 허용한다. 의료기기는 10~20년간 사용되고 지원이 끝난 운영체제에서 작동하기도 하며 패치가 재인증으로 이어질 수 있는데, FDA 사이버보안 규칙은 신규 기기에만 적용되고 2025년 한 조사에서는 병원 시스템의 89%에 악용이 확인된 취약점을 가진 연결 장치가 있었다. 신형 차량은 무선 업데이트를 받을 수 있지만 구형 차량은 그렇지 않고, 소프트웨어 리콜도 안전 규제의 속도를 따른다. 건물 제어기·카메라·라우터·냉장고 등에는 업데이트 경로나 온라인 연결 사실을 아는 소유자가 없는 경우도 있다. 10월 프랑스 슈퍼마켓 수백 곳에서는 주로 지원 종료 제어기를 통해 하룻밤 사이 냉장 설비의 온도가 올라갔고, 국가 사이버보안 기관은 연결 해제를 권고했으며 3주 뒤 다른 유럽 국가에서도 같은 공격이 발생해 벨기에 한 체인의 계약업체는 각 장치에 물리적 변경이 필요하다고 설명했다. 저자들은 이런 환경에서 실효성 있는 통제는 장비 밖에 있어야 한다고 본다.

3. 인터넷 노출 제거와 소유자의 실제 행동

첫 번째 접근은 공격자가 취약한 장비에 도달하지 못하도록 공개 인터넷에서 노출을 제거하는 것이다. Censys는 온라인에 노출된 수도 시설 제어 화면을 거의 400개 발견했으며, 이 중 40개는 로그인 없이 제어할 수 있었고 EPA 및 공급업체와 함께 소유자에게 연락했다. 그 결과 9일 안에 4분의 1이 보호됐고 2025년 5월에는 노출된 비중이 6% 미만으로 줄었으며, 이 과정에는 패치가 필요하지 않았다. 다만 운영자와 계약업체에는 원격 접근이 필요하므로, 원문은 단순한 연결 해제 요구보다 공개 노출 없이 원격 접근을 유지하는 저렴한 수단과 규제기관·공급업체·인터넷 제공업체·보험사 같은 영향력 있는 전달 주체가 중요하다고 설명한다. 감염된 소비자 기기를 다룬 한 연구에서는 유럽 인터넷 제공업체의 격리·통지 절차가 14일 안에 감염의 92%를 해소했지만 이메일 경고는 아무 말도 하지 않은 경우보다 효과가 좋지 않았다. AI가 노출 발견 비용을 크게 낮추더라도 소유자에게 알리고 행동을 끌어내는 일은 여전히 어렵다는 것이 이 사례들의 공통된 의미다.

4. 네트워크 분리, 가상 패치, 취약점 유형 제거

두 번째 접근인 네트워크 분리는 침입이 물리적 사고로 번지는 경로를 끊는다. Dragos가 5월에 문서화한 멕시코 수도 시설 사례에서는 프런티어 모델을 주된 작업 수행 수단으로 사용한 침입자가 사무망과 제어 시스템의 경계까지 도달했지만 분리된 제어망 안으로는 들어가지 못했으며, 원문은 계약업체와 원격 관리자 경로까지 이런 경계를 유지해야 한다고 강조한다. 세 번째 접근은 네트워크에서 기계의 속도로 공격을 막는 것으로, PHP 사례처럼 수시간 안에 만든 보호 규칙을 수백만 서버 앞단에 배포하는 가상 패치를 뜻한다. 저자들은 주로 대형 플랫폼의 웹 트래픽에 적용되던 이 방식을 취약점 공개마다 AI로 자동 생성하고 산업 프로토콜, 병원망, 소기업 라우터로 확대하는 방향을 제시한다. 네 번째 접근은 개별 버그 대신 유형 자체를 없애는 것으로, Google은 주로 새 코드를 메모리 안전 언어로 작성하면서 Android 취약점 중 메모리 안전성 버그의 비중이 2019년 76%에서 2024년 24%로 낮아졌다고 보고한다. 형식 검증, 더 안전한 기본 설정, 강화된 프로토콜 라이브러리도 반복되는 약점을 줄일 수 있지만 이런 변화는 느리고 광범위한 취약 장비에 가장 늦게 도달하며, 그럼에도 원문은 발견할 버그의 수 자체를 줄이는 유일한 접근이라고 평가한다.

5. 대체 운영과 백업을 겨냥하는 공격

원문은 네 가지 방어와 함께 안전한 대체 운영과 장비 교체에도 투자해야 한다고 주장한다. 수도 시설은 수동으로 가동할 수 있어야 하고 병원은 일주일 동안 종이로 업무를 수행할 수 있어야 하며, 경제적으로 보호하기 어려울 만큼 오래된 장치는 퇴역시켜야 한다는 예를 든다. 이런 방어도 위험을 없애지는 못하므로, 광범위하게 분산된 취약 장비를 가진 조직에서는 백업의 작동 여부가 피해 기간을 좌우할 수 있다. Sophos의 2024년 랜섬웨어 피해자 조사에서는 응답자의 94%가 공격자의 백업 침해 시도를 보고했고 그 시도의 57%가 성공했다. Mandiant의 최신 보고서는 주요 랜섬웨어 집단이 백업 인프라, 신원 서비스, 하이퍼바이저 관리를 함께 공격하고 클라우드 백업을 아예 삭제하는 행태를 설명한다. CISA의 갱신된 Akira 관련 권고도 백업 서버 소프트웨어의 취약점 악용을 침입 경로로 제시하므로, 저자들은 백업을 공격 표면의 일부로 다뤄야 한다고 본다.

6. 복구 자신감과 복원 실적의 간극

복구에 대한 조직의 자신감은 실제 성과와 크게 다르다. Veeam의 2026년 조사에서는 리더의 90%가 복구 목표를 충족할 수 있다고 답했지만 피해자의 28%만 모든 데이터를 되찾았고, Sophos의 의료 분야 조사에서는 암호화된 데이터를 백업으로 복구한 비중이 3년 전 72%에서 2025년 51%로 낮아졌다. 백업이 침해된 피해자의 복구 비용 중앙값은 약 300만 달러로, 백업이 살아남은 경우의 37만 5,000달러보다 높았다. 이에 원문은 보호된 자격 증명, 침입자가 쉽게 변경할 수 없는 복사본, 공격자가 먼저 이용하는 접근 경로와의 격리, 정기적인 복원 시험이 필요하다고 설명한다. 백업을 보유했다는 선언보다 실제로 특정 시점의 복사본에서 병원 기록 시스템을 정해진 시간 안에 복원했다는 증거가 중요하며, 본문에 등장하는 전날 밤 복사본과 4시간이라는 수치는 그 차이를 보여주는 예시다.

7. 대형 플랫폼의 보호 효과와 집중 위험

공격자와 취약한 시스템 사이에 다른 주체가 서는 방식은 효과적이지만, 그 역할이 소수의 클라우드·콘텐츠·보안 기업에 집중된다는 문제가 있다. 최대 콘텐츠 전송 네트워크 하나는 현재 전체 웹사이트의 4분의 1 앞단에 있으며, 10년 전에는 그 비중이 4% 미만이었고 원문은 이런 집중이 PHP 사례에서 빠른 보호를 가능하게 했다고 설명한다. 동시에 2024년 7월 CrowdStrike의 잘못된 업데이트 하나가 약 850만 대의 Windows 기기를 중단시켰고, 미국 최대 기업들의 손실은 약 54억 달러로 추산됐으며 보험 보장 예상 비중은 10~20%에 그쳤다. Jason Healey가 지적했듯 소수의 미국 플랫폼이 세계 서버에 도달할 트래픽을 결정할 때 어느 나라의 규칙이 적용되는지도 주권 문제로 떠오른다. 그럼에도 단일 자산의 방어 비용은 대체로 유지되는 반면 공격 비용은 계속 내려가므로, 저자들은 취약 장비를 가진 소규모 조직이 플랫폼의 보호를 받거나 노출된 인프라를 인터넷에서 빼는 방향으로 밀릴 것이라고 본다. 두 선택을 모두 하지 못하는 지역 수도 시설, 의원, 소규모 제조업체가 이미 비용을 치르고 있다는 것이 원문의 경고다.

8. 외부 개입의 정당성과 통합 제품의 기회

소유자가 위험을 모르거나 비용을 감당하지 못하거나 더 이상 존재하지 않을 때에는 다른 주체가 개입해도 되는지가 다음 쟁점이 된다. 2021년 4월 미국 법원은 대응하지 않은 소유자들의 민간 Exchange 서버 수백 대에서 FBI가 악성 웹셸을 제거하도록 허가했고, 이듬해가 아닌 2023년 12월의 별도 작전에서는 법원 명령에 따라 대부분 공급업체 지원이 끝난 소규모 사무실 라우터 수백 대에서 중국 국가 배후 봇넷을 제거했으며 해당 작전은 다음 달 공개됐다. 원문은 이를 제한된 개입의 선례로 제시하면서, 다른 이들을 위험하게 하는 장치에 통지한 뒤 격리하고 조치하는 더 넓은 개입에 대한 압력이 커질 것으로 예상한다. 저자들은 여기에는 시민적 자유와의 실질적인 절충이 있으므로 위기 중에 즉흥적으로 결정하기보다 미리 논의해야 한다고 주장한다. 사업 측면에서는 패치를 불필요하게 만들거나 다른 주체가 맡도록 하고 취약점 발견·실행 중 보호·수정 검증을 연결하는 제품 범주가 유망하며, 기존의 독립적인 제품 범주는 통합 제품의 기능으로 흡수될 위험이 있다고 본다. 다만 최소 6개의 기회를 제시하겠다는 문장 뒤에 제공된 본문이 첫 항목의 일부인 '1. Fix i'에서 끊기므로, 구체적인 기회나 실행 방안을 이 자료만으로 확정할 수는 없다.

🧾 핵심 주장 / 시사점

• 원문의 논지는 패치 지연을 일시적인 운영 문제보다 구조적인 조건으로 본다는 데 있다. 따라서 방어의 성과는 수정 배포 속도뿐 아니라 취약점이 남아 있는 동안 공격 경로를 얼마나 차단하는지로도 판단하게 된다.
• 노출된 장비를 발견하는 능력과 소유자의 행동을 바꾸는 능력은 별개다. Censys와 인터넷 제공업체 사례는 기술적 발견 이후에도 전달 주체의 영향력과 원격 접근을 유지할 현실적인 대안이 중요함을 보여준다.
• 방어를 대형 플랫폼에 맡기면 보호 범위와 대응 속도를 높일 수 있지만, 장애와 규칙 결정 권한도 집중된다. 원문이 제시하는 사업 기회는 이러한 운영상 이점과 정책상 부담을 함께 가진다.

✅ 액션 아이템

• 패치가 어려운 산업 제어 시스템과 의료기기의 인터넷 노출 제거, 네트워크 분리, 네트워크에서의 공격 차단 적용 가능성 검토.
• 백업 침해 가능성을 반영해 실제 복원 검증과 안전한 대체 운영의 실효성 확인.
• 대형 플랫폼 도입 판단에 보호 효과와 집중에 따른 장애·주권 문제를 함께 반영.

❓ 열린 질문

• 패치가 어려운 산업 제어 시스템과 의료기기에서 인터넷 노출 제거와 네트워크 분리는 필요한 연결을 유지하면서 어디까지 적용할 수 있는가?
• Veeam의 2026년 조사에서 나타난 복구 목표 달성에 대한 90%의 자신감과 전체 데이터 복구율 28%의 간극을 줄이려면 실제 복원 검증은 무엇을 입증해야 하는가?
• 대형 플랫폼의 보호 효과를 확보하면서 집중에 따른 장애·주권 문제와 외부 개입에 수반되는 시민적 자유의 절충을 어떻게 다뤄야 하는가?