제로데이란 — 패치가 없는 취약점이 가장 비싼 이유
Zero-day explained: why an unpatched flaw is the most valuable thing in security
개발사가 아직 모르거나 고치지 못해 방어 수단이 없는 소프트웨어 취약점으로, 막을 방법이 없다는 이유만으로 가장 비싸게 거래된다
3줄 요약
- 제로데이는 패치가 존재하지 않는 상태의 취약점 — 개발사가 알게 된 뒤 대응할 시간이 '0일'이라는 뜻
- 패치가 나오면 N-day가 되고 가치가 급락한다 — 제로데이의 값은 희소성이 아니라 무방비 상태에서 나온다
- 지금까지 이 발견은 최상위 전문가의 수작업이었다 — AI가 자동화하면 공격 비용 구조 자체가 바뀐다
핵심 질문
- 제로데이가 정확히 무슨 뜻이야
- 소프트웨어에 있는 보안 결함 중, 이를 고칠 패치가 아직 존재하지 않는 것이다. 이름은 개발사가 그 결함의 존재를 알게 된 시점부터 대응할 수 있었던 날이 '0일'이라는 데서 왔다. 즉 결함의 심각성이 아니라 방어의 준비 상태를 가리키는 말이다. 아무리 위험한 취약점도 패치가 배포되면 더 이상 제로데이가 아니다.
- 왜 그렇게 비싸게 거래돼
- 막을 방법이 없기 때문이다. 백신도 방화벽도 알려진 패턴을 근거로 막는데, 아무도 모르는 결함에는 그 패턴이 없다. 잘 방어된 대상 — 정부망, 금융 시스템, 최신 스마트폰 — 에 들어가는 유일한 문이 되므로 값이 붙는다. 다만 이 값은 유통기한이 있다. 개발사가 알고 패치를 내는 순간 사실상 0에 수렴한다.
- AI가 제로데이를 찾는다는 게 왜 다른 문제야
- 지금까지 이 작업은 극소수 전문가의 수작업이었고, 그 인력의 희소성이 사실상의 방어선이었다. 자동화가 되면 그 방어선이 사라진다. 오픈AI가 이달 초 차세대 모델 아스트라의 일부 개발을 중단한 이유도 여기에 있다 — 내부 평가에서 모델이 잘 방어된 실제 시스템의 제로데이를 스스로 찾아 공격할 가능성이 확인됐기 때문이다.
보안 뉴스에서 가장 자주 등장하면서 가장 자주 오해되는 단어가 '제로데이'다. 흔히 '아주 위험한 해킹'의 동의어처럼 쓰이는데, 정확히는 위험의 크기가 아니라 방어의 준비 상태를 가리키는 말이다.
이 문서는 제로데이가 무엇이고, 왜 값이 붙으며, AI가 이 작업을 자동화하면 무엇이 달라지는지를 정리한다.
1. 이름의 뜻 — 대응할 수 있었던 날이 0일
모든 소프트웨어에는 결함이 있다. 그중 보안에 영향을 주는 것을 취약점이라 부른다. 취약점의 일생은 대략 이런 순서다.
| 단계 | 상태 | 방어 가능성 |
|---|---|---|
| ① 존재 | 코드에 결함이 있지만 아무도 모름 | — |
| ② 발견 | 누군가 찾아냄 (연구자·공격자·정부기관) | 발견자에 달림 |
| ③ 제로데이 | 개발사가 모르거나, 알아도 패치가 없음 | 사실상 없음 |
| ④ 패치 배포 | 개발사가 수정본 공개 | 업데이트하면 안전 |
| ⑤ N-day | 패치는 있는데 이용자가 아직 안 깔음 | 이용자에 달림 |
'제로데이(zero-day)'라는 이름은 ③단계에서 나온다. 개발사가 결함을 알게 된 시점부터 대응할 수 있었던 날이 0일이라는 뜻이다.
여기서 중요한 사실 하나. 실제 피해의 대부분은 ③이 아니라 ⑤에서 나온다. 패치가 나온 지 몇 달·몇 년이 지났는데도 업데이트하지 않은 시스템이 공격의 압도적 다수를 차지한다. 미국 사이버보안·인프라보안국(CISA)이 '알려진 악용 취약점 목록'을 따로 운영하며 기한 내 패치를 의무화하는 것도 그래서다.
2. 값은 어디서 나오나
제로데이의 가격은 희소성에서 나오는 것이 아니다. 무방비 상태에서 나온다.
일반적인 보안 제품은 알려진 공격 패턴을 근거로 막는다. 백신은 알려진 악성코드의 특징을, 침입탐지 시스템은 알려진 공격 흐름을 본다. 아무도 모르는 결함에는 그 '알려진 것'이 없으므로, 정상 동작과 구분되지 않는다.
그래서 제로데이는 잘 방어된 대상에 들어가는 유일한 문이 된다. 여기서 '잘 방어된'이 핵심이다. 허술한 시스템은 굳이 제로데이가 없어도 뚫린다. 최신 패치가 적용된 스마트폰, 격리된 정부망, 다층 방어를 갖춘 금융 시스템처럼 다른 방법이 통하지 않는 대상에서만 제로데이의 값이 성립한다.
| 시장 유형 | 성격 | 대략적 가격대 |
|---|---|---|
| 버그바운티 | 개발사가 연구자에게 지급, 즉시 패치 | 수천~수십만 달러 |
| 정부·방위 브로커 | 정보기관 등에 판매, 패치 지연 | 수십만~수백만 달러(브로커 제시가 기준) |
| 지하 시장 | 범죄 조직 | 비공개 |
같은 취약점이 어느 시장으로 가느냐에 따라 세상에 미치는 영향이 정반대가 된다. 버그바운티로 가면 며칠 안에 패치가 나오고 모두가 안전해진다. 브로커로 가면 그 결함은 몇 달·몇 년 동안 열린 채 남는다.
3. AI가 이 일을 하면 무엇이 바뀌나
지금까지 제로데이 발굴은 극소수 전문가의 수작업이었다. 대상 소프트웨어의 구조를 깊이 이해하고, 수만 가지 입력을 시도하고, 실패를 반복하며 몇 주에서 몇 달을 쓰는 일이다. 그 인력의 희소성 자체가 사실상의 방어선이었다. 세상에 제로데이를 찾을 수 있는 사람이 몇백 명뿐이라면, 동시에 진행될 수 있는 공격의 수에도 상한이 있다.
자동화는 그 상한을 없앤다. 오픈AI가 8월 7일 차세대 모델 아스트라의 일부 개발을 중단한 것이 이 문제의 첫 공개 사례다. 예비 내부 평가에서 이 모델이 잘 방어된 실제 시스템의 제로데이를 스스로 찾아내 공격까지 수행할 가능성이 확인됐고, 회사의 위험 분류상 최고 등급인 '치명적' 사이버 역량에 해당한다는 판단이었다.
다만 이 이야기에는 대칭이 있다. 같은 능력이 방어 쪽에도 쓰인다. 자기 코드의 취약점을 배포 전에 스스로 찾아 고치는 것도 같은 기술이고, 그쪽이 먼저 보급되면 세상의 취약점 총량은 오히려 줄어들 수 있다. 결국 문제는 능력 자체가 아니라 공격 자동화와 방어 자동화 중 어느 쪽이 먼저 규모를 갖추느냐다.
4. 개인은 무엇을 할 수 있나
솔직하게 말하면, 제로데이 자체에 개인이 할 수 있는 일은 거의 없다. 정의상 방어 수단이 없기 때문이다. 대신 실효가 있는 것은 ⑤단계 — N-day 방어다.
- 자동 업데이트를 켠다. 실제 피해의 대부분이 '패치는 있었는데 안 깔았다'에서 나온다.
- 2단계 인증을 쓴다. 취약점을 통한 침입이든 계정 탈취든, 두 번째 관문이 있으면 성공률이 크게 떨어진다.
- 쓰지 않는 소프트웨어를 지운다. 설치된 프로그램 하나하나가 공격 표면이다.
- 긴급 패치 공지에 반응한다. 개발사가 예정에 없던 업데이트를 급히 내놓을 때는 대체로 이유가 있다.
5. 남은 것 · 확인되지 않은 것
제로데이 거래 가격대는 공개 브로커의 제시가와 업계 추정에 기반한 것으로, 실제 거래가는 공개되지 않는다. 그리고 이 문서 작성 시점 기준으로, AI가 자율적으로 제로데이를 발견해 실제 공격에 쓴 사고 사례가 공개 확인된 바는 없다 — 오픈AI의 판단은 내부 평가 기준이며 외부 검증 결과가 아니다.
오픈AI의 조치 내용은 오늘 함께 발행한 「오픈AI가 자기 모델을 멈춰 세웠다」에, AI 모델이 평가 환경을 인식하는 문제는 「AI가 시험장을 빠져나왔다」에, 정부 차원의 출시 전 검증 체계는 「출시 전 30일, 정부가 먼저 본다」에서 이어진다. 이 문서는 AI·보안 관련 기준 문서로 계속 갱신한다.