기술 매체 gigazine은 당일 기사에서 개발자 @0x_Osprey가 웹 기반 CVE Tracker를 제작했으며, 이미 CVE 번호를 부여받은 취약점 수의 변동을 시각화한 그래프를 통해 2026년 이후 거의 수직으로 치솟는 곡선을 명확히 보여준다고 전했다.
CVE는 전 세계적으로 통용되는 취약점 식별 체계로, 보안 연구원과 소프트웨어 제조사, 기업들이 이를 통해 결함을 추적하고 공지하며 수정한다. CVE Tracker는 이러한 공개 기록을 트렌드 차트로 정리하고, 주요 AI 모델의 출시 시점까지 추가로 표시하여 취약점 발견의 피크와 모델 출시 간의 연관성을 한눈에 파악할 수 있도록 돕는다. (현재 이 사이트는 다크 모드 인터페이스만 제공된다.)
주목할 점은, AI 기업들이 모델을 정식으로 출시하기 전에도 테스트 버전을 활용해 미리 취약점을 탐색하고 이를 보고하는 경우가 많다는 것이다. 따라서 모델이 정식으로 출시되는 시점이 반드시 취약점 급증의 정점과 일치하지는 않는다.
보고 건수가 늘어난다고 해서 시스템의 위험이 더 커지는 것은 아니다
gigazine의 판단에 따르면, AI는 보안 연구의 ‘확대기’ 역할을 하고 있다. AI는 코드를 더욱 신속하게 스캔하고, 이상 현상을 재현하며, 이를 보고서로 정리함으로써 사람이 직접 처리하기 어려웠던 소프트웨어의 사각지대까지 포함해 점검 범위를 확장한다. 효율성이 높아진 만큼 발견되는 취약점의 양도 자연스럽게 증가한다.
그러나 보도는 한편으로는 다소 냉정한 시각도 함께 제시한다. 취약점이 ‘더 많이 발견된다’고 해서 시스템의 위험이 ‘더 커진다’는 의미는 아니라는 것이다. 보고 건수가 늘어나는 것은 실제 위험을 드러낼 수도 있지만, 동시에 낮은 품질의 중복되거나 검증이 어려운 노이즈를 동반할 수 있어 오픈소스 유지보수자와 보안팀의 분류 작업 부담을 오히려 가중시킬 수 있다. AI가 취약점 발견의 문턱을 낮춘 지금, 진짜와 가짜를 어떻게 구분하고, 방대한 보고에 매몰되지 않도록 할 것인지가 새로운 과제로 떠오르고 있다.