Microsoft의 최신 방어 보고서는 불편한 조합을 설명한다. 공격자는 침입의 일부를 더 빨리 준비하고, 침해된 신원과 연결 도구는 조직의 더 넓은 영역에 닿는다. 완전 자율 해킹이 일상화되기 전에 AI는 익숙한 기법을 가속한다. 당면한 문제는 짧아진 대응 시간과 확대된 신뢰 기반 접근망이라는 두 측면이다.
10월1일 공개된2026 Digital Defense Report는2025년7월부터2026년6월까지의 위협 활동을 조사했다. Microsoft는 정찰, 사회공학, 취약점 연구, 악성코드 개발, 침해 후 분석에서 AI 활용을 관찰했다. 감독 없는 에이전트가 공격을 지배한다는 증거는 아니다. 인간이 여전히 대부분의 캠페인을 통제하며, 새 작업 조정 연구는 이미 자리 잡은 활동과 구분해야 한다.
수치가 실제로 측정하는 것
Microsoft는 관측한 침입의63%에 데이터 탈취가 있었고, 이전12개월에 업무 연락처를 사칭한 공격을4,600만건 넘게 탐지했다고 한다. 유효 계정을 이용한 침입 중52.2%는 추가 자격증명 탈취로 이어졌다. 하나의 탈취 신원은 고립된 로그인 사건이 아니라 다른 계정, 클라우드 기록, 신뢰받는 관리 도구로 가는 통로가 될 수 있다.
지역과 업종 통계는 분모와 기간이 다르다. 미국 고객은2025년1월~2026년6월 관측 위협 활동의25.5%였다. 보고서의2026년 업종 측정에서 정부 기관과 공공 서비스는27%로2025년17%보다 높았고, IT는17%, 연구·학계는14%였다. 이는 Microsoft 관측 범위의 비중이지 세계 전수 조사나 개별 조직의 공격 확률이 아니다.
피싱은2026년 관측 침입의23%로2025년7%보다 높았다. 이 증가 중 AI가 일으킨 몫은 알 수 없다. 별도4월 분석은 AI 지원 피싱 클릭률54%, 전통 캠페인 약12%를 보고했다. 비율은4.5배이며 상대 증가율450%가 아니다. 캠페인 설계, 표적 선정, 측정 집단이 해석을 제한하므로 모든 받은편지함의 예측으로 볼 수 없다.
그럼에도 AI는 직무별 미끼, 번역, 직장 언어 모방, 실패한 메시지 수정을 싸게 만든다. 인물 설정, 문서 위조, 스크립트 뼈대, 악성코드 디버깅, 탐지 회피, 탈취 파일 요약도 돕는다. 새로운 익스플로잇이나 독립적인 기계 공격자가 없어도 이런 개선은 실질적 의미가 있다.
하루 미만은 경고이지 모든 취약점의 시계가 아니다
Microsoft는 실제 환경에서 취약점이 발견된 때부터 공격에 쓸 수 있는 형태가 될 때까지의 중앙값이24시간보다 훨씬 짧아졌다고 한다. 이 공격화에는 익스플로잇, 스캔, 더 넓은 침입 절차가 포함될 수 있다. 공개 요약에는 정확한 시간, 전체 표본, 분포, 상세 방법론이 없다. 모든 CVE에 같은 카운트다운을 붙일 근거는 아니다.
비교 대상은 외부 노출 중대 결함을 수정하는 데30~60일이 걸릴 수 있는 조직이다. 이 역시 보편적 수정 시간이 아니다. 클라우드 운영자는 빠르게 완화할 수 있지만 규제·산업·임상 서비스에는 호환성 검사와 신중한 중단 일정이 필요하다. 자산 발견, 계약업체 책임, 시험, 유지보수 시간, 승인은 지연 일부를 설명할 뿐 노출을 없애지 않는다.
AI 지원 패치 비교는 갱신 전후 코드를 대조하고 바뀐 함수를 찾아 결함 경로에 도달할 입력을 제안할 수 있다. 공격자는 여러 표적의 소프트웨어 지문, 공개 기록, 유출 자격증명도 정리한다. 실패한 시도를 감수하고 다음 대상으로 갈 수 있지만 방어자는 각 시스템을 계속 가동해야 한다. 따라서 패치 공개는 수정을 시작하면서 적에게 결함 정보도 준다.
두 보도는 서로 다른 규모를 제시한다. 하나는2026년 공개 취약점72,000개를 전망하고, 다른 하나는 상반기 CVE 약40,000개를 기록한 뒤 연간 약 두 배로 추산한다. 이를 조용히 합쳐 일치한 전망으로 만들면 안 된다. 공개 증가가 기존 결함의 발견 개선을 반영할 수도 있으며 소프트웨어 품질 급락을 직접 증명하지 않는다.
패치 수만 세기보다 노출에 따른 대응이 이 비대칭에 맞는다. 이미 악용되고 인터넷에서 접근 가능한 신원 게이트웨이는 강한 통제 뒤의 더 심각한 결함보다 급할 수 있다. 임시 격리, 공개 접근 제한, 자격증명 교체, 추가 탐지는 영구 업데이트 전에 위험을 줄인다. CISA 목록은 악용 증거를 제공하지만 매번 외부 확인만 기다리면 그럴듯한 열린 공격 경로를 방치할 수 있다.
에이전트는 위험을 대체하지 않고 연결한다
보고서는 AI로 전통 시스템을 공격하는 것과 AI 시스템 자체를 공격하는 것을 구별한다. 프롬프트, 모델 데이터, 서비스 인프라, 사용자 정보, 출력, 도구, 에이전트 신원 모두 진입점이나 연결 통로가 될 수 있다. 모델의 거절 시험만으로 주변 애플리케이션 안전을 입증할 수 없다.
Microsoft는 프롬프트 조작, 민감 데이터 노출, 신원 침해, 과도한 행위 권한, 운영 무결성 훼손으로 분류한다. 개별적으로 허용된 도구를 승인되지 않은 행동으로 연결하면 과도한 행위가 된다. 무결성은 프롬프트, 기억, 설정, 학습 데이터, 의존성, 로그를 포함한다. 이들을 바꾸면 기반 모델을 침해하지 않고도 이후 행동을 돌릴 수 있다.
악성 문서는 검색 에이전트에 정보를 공개하거나 다른 도구를 호출하라고 지시할 수 있다. 조작 정보가 기억에 저장되면 후속 작업까지 영향을 준다. 중요한 경계는 내용을 읽는 것과 그 내용에 행동을 일으킬 권위를 주는 것의 차이다. 내부 지식 베이스도 다른 민감 저장소처럼 책임자와 검색 범위가 명확해야 한다.
신원 문제는 Jasper Sleet와 Coral Sleet로 추적하는 북한 원격 IT 노동자 활동에도 나타난다. AI는 이력서, 가짜 인물, 다국어 소통, 기술 과제를 돕는다. 결정적 자격증명은 사기 채용 뒤 고용주에게서 나온다. 단순한 악성코드 생성이 아니라 신뢰받는 사업 관계의 악용이다.
운영자는 역할 프롬프트, 바꿔 쓴 요청, 여러 대화에 나눈 지시로 안전장치를 우회하려 한다. 겉으로 무해한 출력도 모델 밖에서 조립할 수 있다. 신뢰성 한계는 남는다. 코드는 실패하고 미끼는 빗나가며 자동 행동이 공격자를 드러내기도 한다.
자율성 주장에는 중요한 경계가 있다
Microsoft는6개월 동안 보조에서 활동 지시, 공격 일부의 자율 완료로 진전했다고 설명한다. 통제 평가에서 AI가32단계 공격 절차를 끝낸 사례도 든다. 이는 정의된 조건의 조정 능력이지 임의의 방어된 기업을 확실히 침해할 수 있다는 뜻이 아니다.
현실에는 빠진 정보, 예기치 않은 의존성, 방어 개입, 문서화되지 않은 경로가 있어 숙련자의 판단이 중요하다. Microsoft의 더 넓은 기법 평가는 현재 악용 대부분을 텍스트·코드·미디어 생성으로 설명하고 고급 에이전트 실험은 아직 대규모가 아니라고 한다. 부분 자동화를 처음부터 끝까지의 자율성과 혼동하지 않으면 두 설명은 함께 성립한다.
방어자도 비슷한 제약을 받는다. Microsoft의 이전 다중 모델 스캔 체계는 취약점을 찾고 수정을 도우며, 내부 역량을 고객 제품으로 전환할 계획이 발표됐다. 별도 조사는 일부 Microsoft 팀의 처리 속도보다 발견이 빨리 쌓인다고 보도했다. 더 많은 그럴듯한 결함이 유익하려면 재현, 우선순위, 수정, 시험, 배포가 따라가야 한다.
회사는 일부 Security Copilot 사용자가 위협 요약을60~70% 더 빨리 작성한다고 한다. 이는 분석자의 한 작업을 측정할 뿐 반드시 침입 억제나 안전한 수정 속도는 아니다. 오탐, 잘못된 자산 연결, 해로운 자동 변경은 낙관적 생산성 설명의 중요한 반대 비용이다.
연결 탐지는 책임을 추적할 수 있어야 한다
역방향 프록시 피싱이 자격증명과 인증 세션 토큰을 잡았다고 하자. 후속 세션은 메일과 클라우드에 접근하고 금융 문서를 복사하며 지속 접근용 인증 방법을 추가한다. 메일, 브라우저, 신원, 앱 시스템은 조각만 볼 수 있다. 시간·기기·사용자·접근 관계를 연결해야 조사 가능한 연대표가 된다.
AI는 경보를 묶고 알려진 패턴을 요약해 분석자가 낯선 경로에 집중하도록 할 수 있다. 그러나 권한이 넓은 방어 에이전트도 공격 경로다. 별도이며 철회 가능한 신원, 이름을 명시한 책임자, 제한된 자격증명, 인증, 행동 승인, 감사 가능한 맥락이 필요하다. 읽기 권한이 편집·전송·내부 지시 실행을 자동 허용해서는 안 된다.
Microsoft는 탐지 뒤 대응은 개선됐지만 여러 업종에서 공격자 체류 시간이 늘었다고 보고했다. 침입을 이해한 뒤 빨리 움직이는 것과 더 일찍 알아차리는 것은 다르다. 단일 제품보다 먼저 발견하고 최초 접근부터 억제까지를 줄이며 검증 기록을 보존한다는 증거가 단순 추가 텔레메트리보다 중요하다.
넓은 시야도 특정한 시야다
Microsoft는 하루 평균165조개 넘는 보안 신호,3,100만건 신원 위험 탐지,52억통 메일을 처리한다고 한다. 규모는 가치 있지만 고객 구성, 지역 보급, 설정, 바뀌는 탐지 범위가 무엇이 보이는지 좌우한다. 관측 비율을 인터넷 전체 측정으로 격상하면 안 된다.
회사는 통합 신원·클라우드·엔드포인트·AI 보안 제품도 판다. 상업적 이해가 관찰을 무효화하지는 않지만 증거 연결에 모든 계층을 한 업체에서 살 필요는 없다. 공통 식별자, 정규화 로그, 개방 표준, 엄격한 사고 처리도 정보를 연결한다. 반대로 플랫폼 집중은 한 실패를 여러 방어층으로 퍼뜨릴 수 있다. 민관 공유는 고객과 조사 기밀을 보호하는 조건에서 맥락을 더한다.
NIST AI 위험 프레임워크는 설계·배포·측정·거버넌스의 수명주기 관점이지 사이버 통제를 대체하지 않는다. 다음에 필요한 증거는 공격화 시간의 투명한 정의와 분포, 실험실 밖에서 확인한 자율 활동, 짧아진 노출·체류 시간, 적어진 실패 변경이다. 당장의 교훈은 구체적이다. AI가 공격자의 수고를 줄이는 만큼 방어자는 신원, 에이전트 행동, 취약 자산을 제때 연결해 보호 시스템을 망가뜨리지 않고 위험 접근을 끊어야 한다.
출처와 관련 자료
Microsoft 디지털 방어 보고서 · 10월 보고서 핵심 결과 · 공격 수명주기의 AI · 지식 베이스 접근 경계 · AI 공격 기법 연구 · NIST AI 위험 프레임워크 · 위협 지형 분석 · AI 스캔과 방어 · Microsoft 수정 역량 조사 · CISA 악용 취약점 목록 · 주요 보도 발견 기록 · 보충 보도 발견 기록