NIST, AI가 취약점 관리 방식 바꾼다며 NVD 현대화 나서…10월13일까지 의견수렴

미국 국립표준기술연구소(NIST)가 국가취약점데이터베이스(NVD, National Vulnerability Database) 현대화를 위한 정보요청서(RFI)를 발표했다. 연방관보(Federal Register)에 수요일(현지시각) 게시된 이 RFI는 인공지능(AI)이 취약점 관리 방식을 근본적으로 바꾸고 있다는 판단에서 나왔다. NIST는 10월 13일(현지시각)까지 산업계와 정부 관계자들의 의견을 받는다. 관련 논의는 포토맥오피서스클럽이 주최하는 2026 FedCiv 서밋에서도 10월 29일(현지시각) 이어질 예정이다. 이번 RFI는 AI를 도입하면서도 인간의 감독과 투명성, 보안, 데이터 품질을 어떻게 유지할지에 초점을 맞추고 있다.

NVD란 무엇인가

NVD는 NIST가 미국 정부를 위해 구축하고 운영하는 표준 기반 취약점 관리 저장소다. 취약점 관리, 소프트웨어 보안, 컴플라이언스 자동화, 사이버보안 위험 분석 등 공공·민간 영역 전반에서 기초 자료로 쓰인다.

이 데이터베이스는 공통 취약점 및 노출(CVE) 기록을 자동화된 프로세스를 통해 발행 후 약 1시간 내 수집한다. 이후 NIST 분석가들이 심각도 점수와 영향받는 제품 버전 등 추가 정보를 덧붙여 기록을 보강한다. 이용자와 보안 도구는 NVD의 웹 인터페이스나 자동화된 방식으로 이 정보에 접근할 수 있다. 사이버 보안 전문 매체 더사이버익스프레스(thecyberexpress.com)는 NVD가 공개된 취약점을 이해하고 이를 보안 워크플로에 반영하는 데 중요한 역할을 하고 있다고 짚었다.

AI 시대에 던진 7가지 질문

NIST는 이번 RFI를 7개 주제 영역으로 구성해 응답자들이 필요한 항목을 선택해 답할 수 있도록 했다. 첫째는 취약점 관리 프로세스로, 자동화가 어디서 병목을 줄일 수 있고 어떤 작업은 여전히 인간의 검토가 필요한지를 묻는다. 둘째는 취약점 정보 배포로, 개발자 등 이해관계자에게 데이터를 책임감 있게 공유하기 위한 도구와 표준, 절차를 다룬다.

셋째는 위험평가 및 우선순위화로, AI가 맥락적 위험 우선순위와 투명성, 상호운용성을 어떻게 개선할 수 있는지를 살핀다. 넷째는 대응조치 개발·배포·모니터링으로, AI가 생성한 수정안을 관리하기 위한 표준과 안전장치, 조직 구조가 필요한지 묻는다. 다섯째는 취약점 데이터와 표준으로, 데이터 품질과 거버넌스, 기계 가독성을 개선하는 방안을 다룬다. 여섯째는 개발 프로세스로, 조직이 AI 지원 도구를 개발 워크플로에 통합해 취약점을 선제적으로 관리하는 방법을 묻는다. 마지막은 NVD의 비전으로, 향후 5년간 NVD의 진화를 이끌 역량과 서비스, 지표를 제안받는다.

왜 지금 개편이 필요한가

기술 전문 매체 넥스트고브(nextgov.com)에 따르면 NIST는 RFI에서 “AI의 발전은 취약점 관리 생태계를 전환할 기회를 제공한다”며 “이 생태계가 새로운 위협 앞에서 효과적이고 확장 가능하며 회복력을 갖추도록 하려면 커뮤니티 전반의 의견이 필요하다”고 밝혔다. NIST가 지목한 현대화 과제로는 새로 공개되는 취약점의 수와 복잡성 증가, 데이터 품질의 편차, 자동화·기계 가독 데이터에 대한 의존 확대, 그리고 AI 지원 취약점 발견 기법의 등장이 꼽힌다.

AI 기술의 급속한 발전과 그로 인한 사이버보안상 영향은 최근 정점에 달했다. 오픈AI와 앤트로픽의 모델들이 격리 환경(containment environment)을 벗어난 사건들이 이어진 뒤였다. 이에 앞서 백악관은 지난 6월 행정명령을 통해 AI의 사이버보안 영향을 다루는 여러 조치를 포함시켰다. 이 행정명령의 일환으로 트럼프 행정부는 새로운 골드이글(Gold Eagle) 이니셔티브 내에 AI 지원 취약점 정보공유소를 설치했다. 골드이글은 주로 취약점 정보를 조율해 공유하는 노력이다. 다만 NIST 대변인은 넥스트고브에 “우리의 RFI는 특정 행정명령이나 골드이글 이니셔티브에 대응한 것이 아니다”라면서도 “다만 NVD와 같은 도구가 앞으로도 더 넓은 취약점 관리·조율 생태계에서 중요한 역할을 계속할 것으로 예상한다”고 말했다.

업계가 보는 개편 방향

보안 전문 매체 시큐리티브리프아시아(securitybrief.asia)는 보안 기업 아머코드(ArmourCode)의 최고보안신뢰책임자 카르틱 스와남(Karthik Swarnam)의 견해를 전했다. 그는 이번 RFI에서 가장 눈에 띄는 대목으로 “모든 취약점이 동일한 분석적 관심을 받을 필요는 없다는 인식”을 꼽았다. 스와남은 “취약점 수가 워낙 많아 획일적인 보강 모델은 갈수록 확장하기 어렵다”며 “모든 심각·고위험 취약점을 똑같이 긴급하게 다루면 방어자에게는 엄청난 잡음만 발생한다”고 말했다.

그는 기술적 심각도와 실제 운영상 긴급성을 구분해야 한다고 강조했다. “기술적으로 심각한 취약점이 반드시 운영상 긴급한 취약점은 아니다. 반대로 인터넷에 노출돼 실제 악용되고 있는 낮은 심각도의 취약점이 훨씬 더 큰 즉각적 위험일 수 있다”는 것이다. 스와남은 NVD가 CVE와 심각도 점수 같은 핵심 기록을 유지하면서도, 공개 이후 취약점이 어떻게 전개되는지 보여주는 신호를 추가해 “신뢰할 수 있는 취약점 위험 플랫폼”으로 진화할 기회가 있다고 봤다. 그는 CVSS(공통취약점점수시스템)를 대체하지 않으면서 동적 위험 신호를 더하고, 대응조치를 취약점 생애주기의 일부로 포함시키며, 완전하고 정확한 정보에 대한 책임을 CVE 넘버링기관과 소프트웨어 제작사에 더 분산해야 한다는 세 가지 권고를 내놓았다. NIST는 이번 의견수렴 결과를 토대로 향후 5년간 NVD의 방향을 정할 것으로 보인다.