보안 권고문 AI 요약, 이 6가지는 원문과 대조하라
AI에 보안 권고문을 통째로 넣으면 영향받는 대상, 조치 시한, 우선순위를 몇 초 만에 뽑아낼 수 있다. 하지만 AI는 영향 버전과 패치 버전, CVSS 심각도, 실제 악용 여부를 자주 틀려서 요약을 그대로 보고에 옮기면 판단이 어긋난다. 근거 문장을 함께 요구하는 프롬프트를 쓰고 버전·조건·심각도·악용·기한·범위 여섯 항목은 원문에서 직접 확인해야 한다.
권고문이 갑자기 내 일이 되는 순간
지금 번지고 있는 PHP 보안 결함 사건이 그렇다. 보도에 따르면 10년 넘게 숨어 있던 PHP 코드의 결함 두 건이 드러났고, PHP 개발진은 현지시간 21일 수정 버전을 배포했다. 인증 절차 없이 외부에서 코드를 실행할 수 있어 네덜란드와 핀란드 등 일부 유럽 정부기관은 예방 차원에서 사이트 운영을 멈췄고, 유럽·일본·호주 당국은 긴급 업데이트를 권고했다. 공교롭게 이 결함을 찾아낸 쪽도 사람이 아니라 AI였다.
이런 소식이 "확인 바람"이라는 말과 함께 사내 메신저로 넘어오면, IT 담당이 아닌 사람은 영어로 된 원문 권고문 앞에서 막막해진다. AI에 통째로 넣어 요약시키는 건 합리적인 출발이다. 문제는 그다음이다. 요약을 그대로 보고에 붙이기 전에, AI가 어디서 자주 틀리는지 알고 원문과 맞춰 보는 절차가 필요하다.
AI에게는 이렇게 물어야 쓸 만한 답이 나온다
Photo by Jake Walker on Unsplash
"요약해줘"는 가장 나쁜 지시다. 권고문을 읽고 당신이 실제로 판단해야 할 것은 세 가지뿐이다. 우리가 영향을 받는가, 언제까지 조치해야 하는가, 지금 급한가. 그래서 질문도 이 셋을 콕 집어야 한다.
예를 들면 이런 식이다. "아래는 보안 권고문 원문이다. 다음 항목만 표로 정리해라. 원문에 없으면 '명시 없음'이라고 쓰고 추측하지 마라. (1) 영향받는 제품과 정확한 버전 범위 (2) 문제가 고쳐진 버전 (3) 원격 공격 가능 여부와 인증이 필요한지 (4) 지금 실제로 악용되는지, 공개된 공격 코드가 있는지 (5) 권고 조치와 기한. 각 항목이 원문 어느 문장에 근거하는지 함께 표시해라."
마지막 한 줄, 근거 문장을 같이 대라는 요구가 핵심이다. 근거를 붙이게 하면 AI가 지어내기 어려워지고, 당신이 원문과 대조할 지점도 바로 찾을 수 있다.
AI가 특히 잘 틀리는 세 자리
첫째는 버전이다. 권고문에는 '영향받는 버전'과 '고쳐진 버전'이 따로 나오는데, AI는 이 둘을 자주 뒤섞는다. 2024년에 공개된 윈도우 PHP의 원격 실행 취약점(CVE-2024-4577)을 보면 영향 대상은 '윈도우에 설치된 모든 PHP'였고, 해결은 '8.1.29·8.2.20·8.3.8 이상으로 올리기'였다. 만약 AI가 "8.3.8이 취약하다"고 말하면 사실과 정반대다. 이상·이하·미만 같은 경계 표현도 흔히 뭉갠다.
둘째는 심각도다. CVSS 점수와 등급은 숫자라서 믿고 싶어지지만, AI는 비슷한 다른 취약점의 점수를 끌어오거나 어림해 바꿔 적기도 한다.
셋째는 악용 여부다. 우선순위를 가르는 가장 중요한 정보인데, 여기서 실수가 잦다. 원문의 "악용될 수 있다"는 가능성 서술을 "이미 악용되고 있다"로 단정하거나, 반대로 실제 공격 보고를 빠뜨린다. 하나의 권고문에 여러 CVE가 묶여 있을 때 서로 뒤섞는 것도 자주 나오는 실수다.
원문에서 직접 확인할 항목
AI 요약을 믿기 전에 원문에서 눈으로 대조할 목록이다.
- 버전: '영향받는 버전'과 '패치된 버전'을 분리해 읽었는가. 경계(이상·미만)가 맞는가.
- 조건: "특정 설정이나 운영체제에서만"처럼 조건이 달렸는가. 우리 환경이 거기 해당하는가.
- 심각도: CVSS 점수와 등급이 원문과 글자 그대로 같은가.
- 악용: '실제 악용 중'인지 '가능성'인지. 공개된 공격 코드(PoC) 언급이 있는가.
- 기한: 한국인터넷진흥원이나 미국 CISA 같은 기관이 못 박은 조치 기한이 있는가.
- 범위: 여러 CVE가 묶였다면 각각 따로 정리됐는가.
이 여섯 줄만 원문과 맞춰 봐도 잘못된 보고의 상당수를 걸러낼 수 있다. AI는 두꺼운 권고문을 빠르게 펼쳐 보여주는 도구이지, 원문을 대신 읽고 책임져 주는 담당자가 아니다. 결함을 찾아낸 쪽도 AI였던 이번 사건이 그 선을 분명히 보여준다. 판단의 근거는 늘 요약본이 아니라 원문에 두어야 한다.