브로드컴코리아 이요한 이사, AIS 2026서 AI 해킹 표적 경고

브로드컴코리아 이요한 이사가 11월 3일 서울에서 열린 2026 AI 보안 콘퍼런스(AIS 2026)에서 '방치된 취약점, AI 해킹의 완벽한 표적: Spring, OSS, 인프라'를 주제로 발표했다고 데일리시큐가 보도했다. 이 행사는 데일리시큐가 주최하고 한국인터넷진흥원(KISA)과 한국정보보호산업협회(KISIA)가 후원했으며, 보안 실무자 등 약 700명이 참석했다.

이 이사는 일반적인 기업 코드베이스의 75% 이상이 오픈소스 프레임워크와 라이브러리로 구성돼 있다고 설명했다. 그는 이 같은 의존 구조에서 관리되지 않는 취약점이 AI 기반 공격의 진입점이 될 수 있다고 지적했다.

그는 Spring의 경우 2013년부터 2025년까지 공개된 CVE가 157건이었지만, 2026년 3월부터 8월 사이에만 211건이 공개됐다고 밝혔다. RabbitMQ도 2025년까지 누적 취약점이 8건이었으나 2026년 5월부터 10월 사이에 112건이 공개됐다고 언급했다. 또한 Spring Boot 다운로드의 60% 이상이 지원 종료된 버전이라고 인용했다.

이 이사는 Off-by-1 Labs(1Password) 연구를 인용해 두 개의 프런티어 모델이 최근 주요 취약점 6건에 대해 6,080건의 패치를 시도했으나 17%만 지속 가능한 수정으로 평가됐다고 전했다. 이어 SBOM과 SCA로 구성 요소를 식별하고 Spring, Java, Tomcat, NGINX, PostgreSQL 등 핵심 프레임워크와 런타임을 갱신하며, 마이크로세그멘테이션과 가상 패치를 활용할 것을 권고했다. 그는 이러한 대응을 지원하는 도구로 브로드컴의 TrueSource 포트폴리오와 VMware vDefend를 소개했다.