[서울=뉴시스]윤정민 기자 = 국내 비영리 보안단체가 기업과 공공기관이 사용하는 오픈소스 소프트웨어의 보안 결함과 패치 정보를 한곳에서 확인할 수 있는 플랫폼을 공개했다. 참여 기관·기업은 점검이 필요한 소프트웨어를 연구팀에 직접 제안할 수도 있다.

사단법인 프로젝트 플라즈마가 운영하는 비영리 인공지능(AI) 보안 프로젝트 '프로젝트 캐노피'는 '취약점 인텔리전스 허브'를 열었다고 3일 밝혔다.

허브는 연구팀이 검증한 취약점과 위험도 지표, 공식 패치, 보안 권고문을 모아 제공한다. 참여 기관·기업은 사용하는 오픈소스에 어떤 결함이 있는지 이를 고칠 업데이트가 나왔는지 확인할 수 있다.

분석 대상 선정에도 참여할 수 있다. 기관·기업이 사용 중인 오픈소스나 점검이 시급한 소프트웨어를 제안하면 연구팀이 이용 규모와 패치 대응 여건, 사고 이력, 사회적 필요성 등을 따져 분석 순서를 정한다.

허브는 취약점 대응에 참고할 정보로 공통 취약점 평가체계(CVSS), 취약점 악용 예측 점수(EPSS), 실제 악용된 취약점 목록(KEV) 등을 제공한다.

EPSS는 공개된 취약점이 향후 30일 안에 실제 공격에 악용될 확률을 추정하는 지표다. 취약점 심각도를 나타내는 CVSS와는 평가 목적이 다르다. 보안 담당자는 두 지표로 결함이 얼마나 심각한지와 공격에 쓰일 가능성을 함께 살펴 대응 순서를 정하는 데 참고할 수 있다.

캐노피 연구팀은 전자정부 표준프레임워크(eGovFrame)를 비롯해 스프링 프레임워크·부트, 도커, 라이트LLM, 그라파나 등을 분석해 왔다. 연구팀은 여러 취약점 후보를 찾아 실제 작동 여부를 검증하고 각 프로젝트 유지·관리 담당자에게 제보했다고 설명했다.

일부 취약점은 조치가 완료됐다. 나머지 취약점 정보는 개발 측과 공개 시점을 조율해 공식 보안 패치 배포에 맞춰 순차 공개할 예정이다.

현재 두나무, 롯데카드, LG유플러스, 티오리, 포스코DX, 한화손해보험이 분석 대상 선정과 운영 의사결정 등에 참여하고 있다. 삼성SDS, 금융결제원, 경찰수사연수원 등도 분석 대상을 제안하거나 정보를 활용하는 파트너로 참여하고 있다.

캐노피는 참여를 원하는 기관·기업의 가입을 받는다. 향후 지자체와 공공기관을 비롯해 보안 예산과 전문 인력이 부족한 의료·교육 분야로 협력을 넓힐 계획이다.

박세준 프로젝트 캐노피 위원장은 "공격자가 AI의 속도로 취약점을 파고드는 환경에서, 방어자 역시 선제적으로 AI 역량을 투입해 위협을 먼저 제거해야 한다"고 말했다.


◎공감언론 뉴시스 alpaca@newsis.com