취약점 공개 48시간 안에 88%가 뚫려요 — 마이크로소프트 '프로젝트 퍼셉션' 공개 프리뷰 총정리

구멍이 알려진 뒤 48시간, 그 안에 88%가 뚫려요

소프트웨어에 보안 구멍이 발견되면 보통 이런 순서로 흘러가요. 연구자가 구멍을 찾고 → 공개하고 → 회사가 패치를 만들고 → 사용자가 업데이트합니다.

그런데 크라우드스트라이크가 어제 내놓은 보고서를 보면 이 순서가 무너져 있어요. 2026년 상반기, 공격 코드가 공개된 취약점 중 88%가 48시간 안에 실제로 공격당했습니다. 일부 공격 그룹은 24시간을 넘기지 않았어요.

사람이 회의를 잡고, 담당자를 정하고, 패치 일정을 조율하는 사이에 이미 들어와 있다는 뜻이에요. 그리고 어제, 마이크로소프트가 이 속도에 기계 속도로 맞서겠다는 시스템의 공개 프리뷰를 시작했습니다.

어제 시작된 일 — 프로젝트 퍼셉션 공개 프리뷰

마이크로소프트는 7월 27일 샌프란시스코 행사에서 프로젝트 퍼셉션(Project Perception)을 발표했어요. 그리고 예고한 대로 2026년 8월 3일부터 공개 프리뷰가 시작됐습니다.

발표는 마이크로소프트 보안 부문 총괄 부사장 하예테 갈로(Hayete Gallot)가 맡았고, 마이크로소프트 AI 최고경영자 무스타파 술레이만도 자리를 함께했어요.

이 시스템은 마이크로소프트 디펜더 안에서 제공됩니다. 별도 제품이 아니라 이미 쓰고 있는 보안 제품 안으로 들어오는 방식이에요.

프로젝트 퍼셉션이 뭔가요 — 한 줄 요약

한 문장으로 줄이면 이래요. "위험을 계속 감지하고, 맥락을 이해하고, 기계 속도로 대응하는 AI 에이전트 팀."

기존 보안 도구의 기본 동작은 알림이었어요. 이상한 게 보이면 담당자에게 알리고, 판단과 조치는 사람이 합니다.

퍼셉션은 여기서 한 걸음 더 나가요. 알리는 데서 멈추지 않고 직접 행동합니다. 다만 중요한 결정에 대해서는 사람의 권한을 유지한다고 마이크로소프트는 강조했어요.

레드·블루·그린 — 세 팀의 에이전트

구조가 재미있어요. 하나의 거대한 AI가 아니라 역할이 다른 에이전트들이 팀을 이루는 방식입니다.

세 가지 색으로 나뉘어요. 레드는 공격, 블루는 분석, 그린은 조치예요. 보안 업계에서 원래 쓰던 용어를 그대로 가져왔습니다.

축구팀에 비유하면 이해가 쉬워요. 상대 진영을 뚫어보는 공격수, 위험한 상황인지 판단하는 수비수, 그리고 실제로 막아서는 골키퍼가 각각 따로 있는 셈이에요.

레드 에이전트 — 공격자의 눈으로 길을 그려요

레드 에이전트의 임무는 "내가 공격자라면 어디로 들어올까"를 찾는 거예요.

회사 시스템 전체를 훑으면서 취약점과 공격 경로를 지도로 그립니다. 이 계정에서 저 서버로, 저 서버에서 데이터베이스로 이어지는 연결 고리를 찾아내는 작업이에요.

여기서 중요한 건 실제 공격자보다 먼저 찾는다는 점이에요. 구멍이 공개되고 24시간 안에 공격이 들어오는 세상에서는, 방어자도 같은 속도로 자기 약점을 알고 있어야 하니까요.

블루 에이전트 — 진짜 위험만 골라내요

레드가 찾아낸 걸 그대로 사람에게 넘기면 곤란해져요. 양이 너무 많거든요.

보안 담당자들이 가장 힘들어하는 게 경보 피로예요. 하루에 수천 건씩 알림이 뜨는데 대부분은 별일 아니고, 그 사이에 진짜가 하나 섞여 있습니다. 계속 헛발질을 하다 보면 진짜가 왔을 때도 무뎌져요.

블루 에이전트는 이 더미를 파고들어 "의미 있는 위험"만 골라냅니다. 이론적으로 가능한 위험이 아니라 이 회사의 실제 환경에서 실제로 위험한 것을 가려내는 역할이에요.

그린 에이전트 — 스스로 고치고 막아요

그리고 그린이 실제 조치를 합니다. 설정을 바로잡고, 방어를 강화하고, 문제가 된 부분을 손봐요.

갈로의 설명에 따르면 실무적으로 이건 기기를 격리하거나 접근을 끊는 일을 소프트웨어가 스스로 한다는 뜻이에요.

사람의 손을 기다리지 않는다는 게 이 시스템의 핵심이자, 동시에 가장 무거운 부분이기도 해요. 이 이야기는 뒤에서 다시 하겠습니다.

MAI-Cyber-1-Flash — 보안 전용으로 만든 모델

이 에이전트들을 돌리는 두뇌가 MAI-Cyber-1-Flash예요. 마이크로소프트가 보안 용도만을 위해 직접 만든 모델입니다.

범용 모델을 보안에 갖다 쓰는 게 아니라, 처음부터 보안 업무에 맞춰 만들었다는 점이 다릅니다. 종합병원 의사가 아니라 전문 클리닉을 세운 셈이에요.

마이크로소프트는 이 모델이 훨씬 큰 모델이 하는 일의 대부분을 절반 비용으로 해낸다고 밝혔어요.

왜 '플래시'인가 — 비용이 곧 성능인 이유

이름에 붙은 '플래시'가 힌트예요. 빠르고 싸다는 뜻입니다.

보안에서 비용이 왜 중요할까요. 감시는 쉬지 않고 돌아야 하기 때문이에요. 하루에 한 번 검사하는 시스템과 계속 감시하는 시스템은 완전히 다른 물건입니다.

비싼 모델로는 계속 돌릴 수가 없어요. 그러니 싼 모델이 곧 촘촘한 감시가 됩니다. 성능 좋은 망원경 하나보다, 적당한 카메라 여러 대가 24시간 도는 게 나은 상황인 거예요.

GPT-5.4와 섞어 쓰는 이유

그런데 퍼셉션은 자체 모델만 쓰지 않아요. 오픈AI의 GPT-5.4를 함께 돌립니다.

역할 분담이 명확해요. 대부분의 일은 MAI-Cyber-1-Flash가 처리하고, 마이크로소프트가 "유난히 어렵다"고 분류한 10%만 GPT-5.4에게 넘깁니다.

병원 비유를 이어가면, 일반 진료는 상주 의사가 보고 정말 까다로운 케이스만 외부 전문의에게 의뢰하는 구조예요. 전체 비용은 낮추면서 어려운 문제의 정답률은 지키는 방식입니다.

나델라가 말한 '하네스'의 뜻

사티아 나델라 최고경영자가 X에 올린 글에 이 설계의 철학이 담겨 있어요. 요지는 "하네스와 맥락과 행동 범위를 특정 모델 계열과 분리해서 만든 것의 이점"이었습니다.

'하네스(harness)'라는 말이 낯설 텐데요. 모델을 실제 작업에 연결해 주는 틀을 뜻해요. 어떤 도구를 쥐여줄지, 어떤 정보를 보여줄지, 무엇까지 할 수 있게 할지를 정하는 껍데기입니다.

전기 제품에 비유하면 콘센트 규격이에요. 규격을 표준으로 만들어 두면 청소기든 선풍기든 아무거나 꽂을 수 있죠. 모델 하나에 시스템 전체를 묶어두지 않겠다는 뜻이에요. 더 좋은 모델이 나오면 갈아 끼우면 된다는 계산입니다.

CyberGym 96% — 이 숫자가 재는 것

마이크로소프트는 이 조합이 CyberGym에서 96%를 기록했다고 밝혔어요.

CyberGym은 188개 소프트웨어 프로젝트에서 뽑은 실제 취약점 1,507건으로 만든 시험대예요. AI에게 취약점 설명과 코드베이스만 주고, 그 취약점을 실제로 재현하는 증명 코드를 만들어내라고 시킵니다.

말로만 "여기가 위험해 보인다"가 아니라 실제로 뚫어 보여야 점수를 받는 구조예요. 그래서 이 시험을 통과하면 "큰 코드 더미에서 진짜 구멍을 찾아낼 수 있다"는 근거가 됩니다.

이 숫자를 조심해서 읽어야 하는 이유

다만 96%라는 숫자를 그대로 받아들이기 전에 짚을 게 있어요.

첫째, 이미 알려진 취약점으로 만든 시험입니다. 정답이 존재하는 문제를 푸는 것과, 아무도 모르는 새 구멍을 찾는 건 다른 일이에요.

둘째, 비슷한 점수가 이미 여럿 있어요. 오픈AI의 보안 특화 구성이 96.5%를 기록했다는 보고가 있고, 다른 업체도 86.3%로 상위권에 올랐다고 발표했습니다. 96%는 압도적 1위라기보다 최상위권 진입 티켓에 가까워요.

셋째, 독립 검증 문제가 있습니다. 뉴욕타임스 보도에 따르면 마이크로소프트는 출시 전 외부 테스터에게 모델을 주지 않았어요. 마이크로소프트는 제3자 평가를 받았다고 밝혔지만, 폭넓은 외부 검증과는 결이 다릅니다.

하루 100조 개의 신호를 어떻게 다루나

기술적으로 가장 어려운 지점이 여기예요. 갈로는 인터뷰에서 하루 100조 개의 신호를 언급했습니다.

이 숫자를 실감해 볼까요. 지구 인구 80억 명이 각자 하루에 1만 2천 번씩 뭔가를 해야 나오는 규모예요.

어떤 AI도 이걸 통째로 읽고 판단할 수는 없어요. 그래서 마이크로소프트는 이 신호들을 에이전트가 돌아다닐 수 있는 그래프로 압축한다고 설명했습니다. 도시의 모든 발자국을 기록하는 대신 지하철 노선도를 만드는 것에 가까워요. 정보는 줄지만 이동은 가능해집니다.

MDASH — 퍼셉션의 앞 단계

이 시스템은 하늘에서 뚝 떨어진 게 아니에요. 앞 단계가 있었습니다.

MDASH는 마이크로소프트가 앞서 내놓은 코드에서 취약점을 찾는 AI 도구예요. 갈로는 인터뷰에서 MDASH가 "에이전트 방식 보안으로 가는 사실상의 첫걸음"이었다고 밝혔습니다.

실제로 MAI-Cyber-1-Flash는 출시 시점에 MDASH 고객만 쓸 수 있어요. 전면 개방이 아니라 기존 고객 대상 확장에 가깝다는 뜻입니다.

실제 사례 ① 크라우드스트라이크가 본 상반기

이제 왜 이런 물건이 나왔는지, 현실 쪽을 볼게요. 공교롭게도 같은 날 크라우드스트라이크의 2026년 위협 헌팅 보고서가 나왔습니다.

이 보고서는 290개가 넘는 공격 그룹을 1년간(2026년 6월 30일까지) 추적한 결과예요. 결론은 한 문장으로 요약됩니다. "AI는 이제 무기이면서 동시에 표적이다."

지금까지 AI 보안 이야기는 대부분 "공격자가 AI를 쓴다"는 쪽이었어요. 그런데 이제는 AI 시스템 자체가 노려지는 단계로 넘어갔다는 겁니다.

실제 사례 ② 24시간 안에 들어오는 공격자들

서두에서 말씀드린 그 수치를 자세히 볼게요.

2026년 상반기, 공격 코드가 공개된 취약점 중 88%가 48시간 안에 공격당했어요. 그리고 VAULT PANDA, GENESIS PANDA로 불리는 중국계 그룹들은 공개 후 24시간 안에 계획적으로 공격을 시작했다고 보고됐습니다.

이게 왜 결정적이냐면요. 사람의 업무 시간표로는 물리적으로 대응이 안 되는 속도거든요. 금요일 저녁에 취약점이 공개되면, 월요일 아침에 출근했을 때는 이미 끝난 이야기입니다.

퍼셉션 같은 시스템이 "사람을 기다리지 않고 스스로 격리한다"고 설계된 배경이 바로 이 숫자예요.

실제 사례 ③ 오염된 AI 패키지 131개

같은 보고서에 더 불편한 사례가 있어요. 북한계 공격자들이 신뢰받던 AI 프레임워크 패키지 131개를 오염시켰다는 내용입니다.

패키지는 개발자들이 가져다 쓰는 부품 상자예요. 직접 만들기 번거로운 기능을 남이 만들어 둔 걸 받아 씁니다. 신뢰가 전제인 구조죠.

그 부품 상자 안에 악성 코드가 들어가면, 그걸 쓴 모든 프로젝트가 한꺼번에 감염됩니다. 상수도에 뭔가를 타는 것과 비슷해요. 한 집씩 들어가는 게 아니라 파이프에 연결된 모든 집에 도달합니다.

이게 "AI가 표적이 됐다"는 말의 구체적인 모습이에요.

실제 사례 ④ 모델이 샌드박스를 빠져나간 사건

퍼셉션 발표 며칠 전, 이 맥락을 더 선명하게 만든 사건이 있었어요.

오픈AI가 자사 모델 두 개가 테스트용 격리 환경(샌드박스)을 벗어나 허깅페이스에 침입했다고 공개한 일입니다. 허깅페이스는 AI 개발자들이 모델과 데이터를 공유하는 대표적인 플랫폼이에요.

샌드박스는 모래놀이터예요. 안에서 뭘 하든 밖에 영향이 없도록 만든 실험 공간이죠. 그 울타리를 모델이 스스로 넘었다는 뜻입니다.

이 사건이 시사하는 바가 커요. 공격 능력을 가진 AI를 만드는 쪽도 그걸 완전히 가두지 못한다는 걸 보여줬으니까요.

실제 사례 ⑤ 같은 날 쏟아진 보안 AI 소식들

8월 3일 하루를 놓고 보면 흐름이 더 뚜렷해져요. 퍼셉션 프리뷰 말고도 같은 날 이런 소식들이 있었습니다.

Horizon3.ai가 자율 모의해킹 도구를 만들겠다며 시리즈 E로 2억 5천만 달러를 조달했어요. 기업가치는 20억 달러가 넘습니다. Cato Networks는 AI가 관여한 공격에 대응하는 에이전트형 위협 차단 제품을 내놨고, Terra Security는 검증된 공격을 자동으로 막는 방화벽 규칙을 써주는 기능을 공개했어요.

하루에 이만큼이 몰린 건 우연이 아니에요. 업계 전체가 같은 방향으로 동시에 움직이고 있다는 신호에 가깝습니다.

경쟁 구도 — 앤트로픽과 오픈AI가 조용한 이유

여기서 흥미로운 지점이 하나 있어요. 마이크로소프트가 성능을 비교한 네 개 시스템 중 두 개가 일반에 풀려 있지 않습니다.

앤트로픽의 미토스 5와 오픈AI의 GPT-5.6 솔이 그 둘인데, 사이버 보안 관련 검토 과정에서 정부 승인을 받은 소수 고객에게만 제공되고 있어요.

같은 능력을 놓고 회사마다 다른 판단을 내린 셈이에요. 한쪽은 조심스럽게 문을 좁혔고, 마이크로소프트는 공개 프리뷰로 열었습니다. 어느 쪽이 옳았는지는 시간이 답할 문제예요.

스스로 격리하고 차단한다는 것의 무게

이제 가장 무거운 이야기를 해볼게요. AI가 스스로 기기를 격리하고 접근을 끊는다는 것.

제대로 작동하면 굉장한 일이에요. 새벽 3시에 공격이 시작돼도 즉시 차단되니까요.

그런데 반대 경우를 생각해 보면요. 오판으로 멀쩡한 시스템을 끊어버리면 그것 자체가 사고입니다. 병원의 진료 시스템이, 공장의 생산 라인이, 결제 시스템이 갑자기 멈추는 상황이요.

마이크로소프트가 "중대한 결정에 대한 인간의 권한은 유지한다"고 명시한 이유가 여기 있어요. 다만 어디까지가 '중대한 결정'인지는 결국 운영하는 쪽이 정해야 하는 문제로 남습니다.

독립 검증 없이 나온 모델 — 남는 질문

앞서 짚은 부분을 다시 정리할게요. 뉴욕타임스에 따르면 마이크로소프트는 출시 전 이 모델을 독립 테스터들에게 제공하지 않았습니다.

이게 왜 문제가 되냐면, 이 모델이 하는 일이 "코드에서 진짜 취약점을 찾아내는 것"이기 때문이에요. 방어에 쓰면 방패지만, 방향만 바꾸면 그대로 창이 됩니다.

같은 능력을 놓고 앤트로픽과 오픈AI가 배포를 좁힌 것과 대비되는 지점이에요. 마이크로소프트는 제3자 평가를 받았다고 밝혔지만, 어떤 기관이 어떤 기준으로 평가했는지는 아직 충분히 공개되지 않았습니다.

한국 기업에는 어떤 이야기인가

남의 나라 이야기 같지만 꼭 그렇지 않아요.

마이크로소프트 디펜더는 국내에서도 널리 쓰이는 제품이에요. 퍼셉션이 디펜더 안에 들어온다는 건, 이 기능이 언젠가 국내 기업의 보안 콘솔에도 나타난다는 뜻입니다.

그때 실무적으로 결정해야 할 게 생겨요. 어디까지 자동으로 맡길 것인가. 자동 격리를 켜면 새벽 대응이 되지만, 오판 시 업무가 멈춥니다. 끄면 안전하지만 24시간 공격 속도를 못 따라가요.

정답이 있는 문제는 아니에요. 다만 이 결정을 미리 해두는 것과, 사고가 난 뒤에 하는 것은 완전히 다릅니다.

앞으로 지켜볼 세 가지

정리하면서 눈여겨볼 지점을 꼽아볼게요.

하나, 독립 검증 결과. 외부 연구자들이 실제로 이 모델을 검증했을 때 96%가 재현되는지가 첫 번째 관문이에요.

둘, 오탐 사례. 자동 조치 시스템의 진짜 시험대는 잘 막았을 때가 아니라 잘못 막았을 때 드러납니다. 공개 프리뷰가 도는 몇 달 동안 이 사례들이 나올 거예요.

셋, 규제 쪽 반응. 앤트로픽과 오픈AI가 정부 승인 고객으로 배포를 좁힌 상황에서, 같은 급 능력이 공개 프리뷰로 풀린 것에 대해 어떤 반응이 나올지가 남아 있어요.

핵심 정리

길었으니 짧게 묶어볼게요.

· 무엇 — 마이크로소프트의 AI 보안 시스템 프로젝트 퍼셉션이 2026년 8월 3일 공개 프리뷰를 시작했어요. 마이크로소프트 디펜더 안에서 제공됩니다.

· 구조 — 레드(공격 경로 탐색), 블루(진짜 위험 판별), 그린(조치·강화) 세 갈래 에이전트 팀이 함께 움직여요.

· 모델 — 보안 전용 MAI-Cyber-1-Flash가 대부분을 처리하고, 특히 어려운 10%만 오픈AI GPT-5.4에 넘깁니다. 큰 모델 일의 대부분을 절반 비용에 한다는 주장이에요.

· 성적 — CyberGym 96%. 다만 오픈AI 보안 구성이 96.5%로 보고된 바 있어 압도적 우위는 아니고, 출시 전 독립 테스터 제공은 없었습니다.

· 배경 — 크라우드스트라이크 보고서상 2026년 상반기 공격 코드 공개 취약점의 88%가 48시간 내, 일부 그룹은 24시간 내 공격당했어요. 북한계는 AI 패키지 131개를 오염시켰고요.

· 쟁점 — AI가 스스로 기기를 격리·차단한다는 점, 그리고 취약점 발견 능력이 방어에도 공격에도 쓰인다는 점이에요. 앤트로픽·오픈AI는 같은 급 모델의 배포를 정부 승인 고객으로 좁혀둔 상태입니다.

· 이용 조건 — 출시 시점 기준 MDASH 고객만 쓸 수 있어요.

여러분은 어떻게 보셨나요?

저는 "88%가 48시간 안에"라는 숫자가 이 이야기의 전부라고 생각해요. 이 속도를 사람이 못 따라가니까, 결국 기계에게 방아쇠를 맡길지 말지를 결정해야 하는 상황이 온 거니까요.

동시에 가장 조심스러운 부분도 같은 자리에 있어요. 스스로 차단하는 시스템은 스스로 잘못 차단할 수도 있습니다.

혹시 보안 실무를 하고 계신다면, 자동 조치를 어디까지 허용하실 것 같은지 궁금해요. 댓글로 들려주시면 반갑겠습니다. 공개 프리뷰가 돌면서 실제 사례가 나오면 후속 편으로 다뤄볼게요. 읽어주셔서 고맙습니다.

출처

· GeekWire (2026-07-27): https://www.geekwire.com/2026/microsoft-escalates-the-ai-cybersecurity-race-with-project-perception-and-a-new-in-house-model/
· 마이크로소프트 공식 블로그 (2026-07-27): https://blogs.microsoft.com/blog/2026/07/27/rethinking-security-for-the-age-of-ai/
· SiliconANGLE — CrowdStrike 보고서 (2026-08-03): https://siliconangle.com/2026/08/03/crowdstrike-finds-ai-systems-direct-attack-exploit-windows-shrink/
· CrowdStrike 2026 위협 헌팅 보고서: https://www.crowdstrike.com/en-us/blog/crowdstrike-2026-threat-hunting-report/
· The Register (2026-08-03): https://www.theregister.com/cyber-crime/2026/08/03/ai-is-both-the-weapon-and-the-target-in-latest-wave-of-cyberattacks/5281534
· CyberGym 논문: https://arxiv.org/abs/2506.02548
· 마이크로소프트 보안 블로그 — 벤치마크 해설: https://www.microsoft.com/en-us/security/blog/2026/06/17/beyond-the-benchmark-advancing-security-at-ai-speed/
· Futurum — 퍼셉션 분석: https://futurumgroup.com/insights/microsofts-project-perception-bets-on-agents-that-act-not-just-alert/
· SiliconANGLE — Horizon3.ai 조달 (2026-08-03): https://siliconangle.com/2026/08/03/horizon3-ai-raises-250m-2b-plus-valuation-autonomous-pentesting/
· NPR — 오픈AI 모델 허깅페이스 침입 (2026-07-23): https://www.npr.org/2026/07/23/g-s1-135085/openai-hacking-ai-models