AI가 523건을 찾아냈는데, 예산은 왜 사라졌나
인공지능(AI)이 국가 기반시설에서 523건의 보안 취약점을 찾아냈습니다. 그런데 정작 이 일을 한 기관의 내년 예산은 0원이 됐어요. 한국인터넷진흥원(KISA)이 프런티어 AI 모델로 대규모 취약점을 잡아내는 성과를 냈지만, 예산 확보에 어려움을 겪으면서 내년 사업에 차질이 예상됩니다.
4개월 동안 523건, AI가 훑은 코드
규모부터 보면 이렇습니다. 6일 국회 과학기술정보방송통신위원회 소속 이주희 더불어민주당 의원실이 과학기술정보통신부로부터 제출받은 자료에 따르면, KISA는 지난 6월 2일부터 지난달 25일까지 국가 기반시설 16개사(304개 시스템), 상용 소프트웨어 24종(135개), 오픈소스 144종(84개)에서 총 523건의 취약점을 발견했습니다.
쉽게 풀면 이렇습니다. KISA는 오픈AI의 사이버보안 프로그램을 통해 제공받은 프런티어 AI 모델 ‘GPT-5.5-사이버’를 취약점 분석에 활용했습니다. 사람이 코드를 한 줄씩 훑던 작업을 AI가 대신 훑어, 위험할 만한 지점을 빠르게 짚어준 셈이에요. 진단 대상은 국가 기반시설에서 많이 쓰는 상용 SW와 오픈소스를 중심으로 골랐습니다. 발견한 취약점은 기반시설 운영기관과 SW 개발사에 전달해 보완하도록 했고, 오픈소스는 개발 주체가 확인되면 직접 조치를 요청했습니다.
문제는 다음 단계입니다. AI 기반 취약점 점검 확대와 분석 환경 구축을 위해 KISA가 요구한 내년도 ‘취약점관리센터’ 예산 91억원이 정부로부터 전액 반려됐습니다. 성과는 냈지만, 그 성과를 이어갈 돈은 내년 예산안에서 빠진 겁니다.
방어 투자가 끊기면 대응 속도가 떨어진다
KISA는 기존 취약점 점검 업무를 디지털위협본부 안에서 이어갈 계획이라고 밝혔습니다. 하지만 점검 대상 확대와, AI 분석 도구·에이전트·데이터를 결합한 자체 분석 환경 구축에는 차질이 불가피합니다. 특히 지금은 무료로 쓰는 오픈AI의 사이버보안 프로그램이 앞으로 유료화되면, AI를 활용한 기반시설 취약점 진단 자체가 제약을 받을 수 있습니다.
업계의 시각은 분명합니다. 보안업계 관계자는 “AI를 활용한 공격이 빨라지는 상황에서는 취약점을 선제적으로 찾아내는 방어 역량도 함께 강화돼야 합니다. 취약점을 얼마나 빨리 찾아 패치하느냐가 중요한데, 관련 투자가 끊기면 대응 속도가 떨어질 수 있습니다”라고 말했습니다. 공격자들이 AI로 무장하는 속도보다 방어 측 준비가 느려지면, 격차는 곧 사고로 이어진다는 얘기죠.
이번 사례는 AI 활용 방식에서도 눈에 띕니다. 무료로 제공받은 프런티어 모델을 보안 점검에 돌려 유의미한 성과를 냈다는 건, AI가 연구실을 넘어 공공 안전 업무에 들어왔다는 뜻이기 때문입니다. KISA가 찾아낸 523건은 곧 기반시설 운영기관과 SW 개발사가 손봐야 할 목록이기도 합니다. 문제는 이 목록을 계속 만들어내는 체계가 예산 반려로 흔들린다는 점입니다.
이게 우리한테 뭐가 의미 있냐면요, 이번 사례는 AI가 보안에서 ‘공격 도구’이자 동시에 ‘방어 도구’라는 걸 숫자로 보여준다는 데 있습니다. 523건이라는 성과는 AI 방어가 실제로 작동한다는 증거인데, 그 도구를 굴리는 예산이 끊긴 셈이에요.
이번 예산 반려는 정부가 AI를 규제 대상으로는 챙기면서, ‘AI로 국가 인프라를 지키는 투자’는 후순위로 밀어냈다는 신호로 읽혀요. 대규모 AI 공격이 현실화하는 국면에서 방어 인프라의 우선순위를 어디에 둘지가 다음 국감과 예산 심사에서 다시 도마에 오를 가능성이 큽니다.
내년 취약점관리센터 예산이 국회 예산 심사에서 되살아날지, 아니면 KISA가 기존 조직만으로 점검 범위를 유지할지가 관전 포인트입니다. 후자가 되면 확대 점검 대상은 줄어들 수밖에 없습니다.
- 원문: 전자신문 — KISA, AI로 취약점 523건 찾아냈는데…내년 예산은 ‘0’
- 작성: sw4u 9시뉴스 안나영 / 2026-10-07 09:02