"취약점 악용 44일·기업 패치 87일"…무디스, AI발 신용위험 경고 [fn마켓워치]

취약점 악용까지 평균 745일→44일로 단축
무디스 평가기업 9500곳, 패치 기간 중앙값 87일
평가기업 60%, 실제 악용된 미패치 취약점 보유
AI 공격 자동화 확산…사이버 복원력 신용도 변수

[파이낸셜뉴스]인공지능(AI) 기술의 발전으로 사이버 공격이 고도화되면서 기업들의 보안 대응 역량이 신용도를 좌우하는 새로운 변수로 떠오르고 있다. 특히 공격 기술의 발전 속도를 기업들의 보안 대응이 따라가지 못할 경우 사이버 위험이 재무적 부담으로 이어질 수 있다는 분석이다.

글로벌 신용평가사 무디스는 23일 발표한 'AI의 발전으로 취약한 사이버 방어체계가 신용도에 미치는 부정적 영향이 심화될 것' 보고서에서 "자율형 AI 에이전트의 확산이 기업과 금융기관의 사이버 위험을 높일 수 있다"며 이같이 밝혔다.

무디스가 인용한 사이버 위협 분석업체 플래시포인트(Flashpoint)의 자료에 따르면 소프트웨어 취약점이 공개된 이후 실제 공격에 악용되기까지 걸리는 평균 시간은 2020년 745일에서 2025년 44일로 단축됐다. 5년 사이 공격자가 취약점을 악용하기까지 걸리는 시간이 크게 줄어든 것이다.

반면 기업들의 대응 속도는 상대적으로 더딘 것으로 나타났다. 무디스가 올해 초 신용등급을 부여한 약 9500개 발행사를 분석한 결과, 실제 공격에 악용된 이력이 확인된 취약점(KEV)을 해결하는 데 걸리는 기간의 중앙값은 87일로 집계됐다.

요니 카츠(Yoni Katz) 무디스 연구원은 기업들의 보안 취약점 관리 실태도 신용위험을 키우는 요인으로 지목했다. 그는 "평가 대상 약 9500개 발행사 가운데 60%는 2025년 기준 실제 악용 사례가 확인됐지만 아직 패치되지 않은 취약점을 최소 한 건 이상 보유했던 것으로 나타났다"고 지적했다.

또 "자율형 AI 에이전트가 확산되면서 기존의 사이버 방어체계만으로는 공격에 대응하기 어려워질 수 있다"고 분석했다. 과거에는 국가 지원 해커조직 등 풍부한 자금과 기술력을 보유한 공격자들이 대규모 사이버 공격을 수행했지만, AI 기술의 발전으로 상대적으로 적은 자원을 가진 공격자들도 지속적인 공격 역량을 확보할 수 있다는 것이다.

특히 AI 에이전트는 사람과 달리 중단 없이 활동하면서 수많은 공격 경로를 동시에 탐색할 수 있다. 취약점 탐지부터 공격 실행까지의 자동화 수준이 높아질 경우 기업들이 보안 결함을 발견하고 수정할 수 있는 시간적 여유는 더욱 줄어들 수 있다.

무디스는 이러한 환경에서 사이버 복원력이 취약한 기업들이 가장 큰 신용위험에 직면할 것으로 전망했다. 특히 보안 패치 관리가 부실하거나 해결되지 않은 취약점이 누적된 기업, 대규모 디지털 네트워크를 운영하는 기업들의 위험이 상대적으로 커질 수 있다고 지적했다.
업종별로는 공공기관과 비영리기관, 교육기관, 유틸리티 등 중소형 발행사가 많이 포함된 부문의 사이버 위험이 높아진 것으로 평가했다. 은행과 보험, 정보기술(IT) 업종 역시 주요 공격 대상이지만 상대적으로 보안 투자 여력이 크다는 점에서 위험을 일부 완화할 수 있다고 분석했다.

아울러 "사이버 공격이 자동화되고 공격 대상이 확대되는 환경에서 기업들의 보안 대응 속도와 복원력 확보 여부가 향후 신용위험을 판단하는 주요 변수로 작용할 것"이라고 덧붙였다.

[email protected] 김현정 기자