백악관, 사이버 취약점 사냥 및 패치 위해 '골드 이글' AI 정보센터 출범

백악관은 패치 속도를 높이기 위해 오픈 소스 유지 관리자와 중요 인프라 운영자를 연결하는 AI 정보 센터인 'Gold Eagle'을 출시했습니다.

백악관은 중요 인프라 전반에 걸쳐 소프트웨어 취약점의 탐지, 우선순위 지정 및 패치 적용을 가속화하기 위한 새로운 AI 기반 조정 메커니즘인 Gold Eagle을 출시했습니다. 화요일에 발표되고 SecurityWeek, Politico, Nextgov/FCW 및 CyberScoop에서 자세히 보도된 이 이니셔티브는 도널드 트럼프 대통령의 AI 중심 행정 명령에 명시된 명령을 위한 운영 수단입니다. 이 간행물의 AI 속보 팀은 연방 AI 정책 움직임의 물결 속에서 추적해 왔습니다.

Gold Eagle은 기존 연방 당국과 리소스를 사용하여 구축된 공유 보고 및 수정 파이프라인에서 오픈 소스 소프트웨어 유지관리자와 중요 인프라 운영자를 연결합니다. 이 프로그램에는 CISA(사이버보안 및 인프라 보안국), 재무부, 전쟁부가 민간 부문 파트너와 협력하여 참여합니다. 조사 결과를 보고하고, 확인하고, 적절한 유지 관리 담당자에게 전달할 수 있는 단일 채널을 생성함으로써, 행정부는 현재 공격자가 더 빠르게 이동하는 동안 방어자가 동일한 결함을 격리하여 스캔하도록 하는 중복된 노력을 제거하기를 희망합니다.

6월 행정 명령에 따라 구축

이 계획은 트럼프 대통령이 6월 2일 서명한 행정 명령 14409, '첨단 인공 지능 혁신 및 보안 촉진'에서 비롯되었습니다. 이 명령은 소프트웨어 취약점을 식별하고 수정하기 위해 AI 기반 정보 센터를 요구했으며 현재 Gold Eagle은 해당 지침의 실현으로 제시되고 있습니다. 명시된 목표는 기관과 회사 전체에서 중복된 취약점 검색을 줄이고, 정부와 업계 모두의 방어자에게 우선순위에 따라 실행 가능한 해결 지침을 전달하는 것입니다.

피트 헤그세스(Pete Hegseth) 전쟁장관은 발사를 군사적 용어로 구성했습니다. SecurityWeek에 따르면 Hegseth는 "트럼프 대통령의 리더십 하에 사이버 영역에 전시 기반을 마련하여 취약점을 가차 없이 패치하고 있습니다"라고 말했습니다. '골드 이글은 미국 사이버 방어의 선봉 역할을 합니다. 우리는 미국 최고의 혁신가들과 함께 최첨단 AI를 활용하여 중요한 인프라를 보호하고 국토를 보호하고 있습니다.'

이미 보고서를 분류 중입니다.

백악관은 골드 이글이 이미 '여러 산업과 분야에서' 취약성 보고서를 받고 분류하기 시작했으며 작업 흐름의 일부로 스캔 확인을 조정하기 시작했다고 밝혔습니다. 그러나 관계자들은 어느 회사가 참여하고 있는지, 어떤 AI 모델이 활용되고 있는지 또는 취약점의 우선순위가 어떻게 정해지는지는 구체적으로 밝히지 않았습니다. 이러한 불투명성으로 인해 일부 보안 분석가들은 효율성을 어떻게 측정할지, 그리고 정부가 운영하는 정보 센터가 결함을 발견한 지 며칠 내에 무기화하는 공격자들과 보조를 맞출 수 있을 만큼 빠르게 움직일 수 있는지에 대해 의문을 제기했습니다.

이번 출시는 엄청난 양의 소프트웨어 결함에 대한 우려가 커지는 순간에 이루어졌습니다. Cybersecurity Dive는 자동화된 도구가 새로운 코드를 생성하고 인간 팀이 해결할 수 있는 것보다 더 빠르게 새로운 약점을 표면화하기 때문에 AI를 기반으로 발견된 취약점이 급증하는 가운데 이 이니셔티브가 이루어졌다고 보고했습니다. 조정된 정보센터는 방어자가 우선순위가 낮은 발견 사항의 백로그에 빠져들지 않고 악용될 가능성이 가장 높은 결함에 집중하는 데 도움이 될 수 있습니다.

핵심에 있는 프론티어 AI

Gold Eagle의 최첨단 AI 모델에 대한 의존은 이를 연방 사이버 정책의 보다 광범위한 최근 변화와 연결합니다. 이번 출시는 트럼프 행정부가 사이버 보안 문제로 인해 부과되었던 Anthropic의 최신 AI 모델에 대한 제한을 해제한 후에 나온 것입니다. 해당 금지령이 해제된 직후 CISA가 Anthropic의 Mythos를 사용하여 정부 소프트웨어의 취약점을 검사하고 감사하고 있다는 보고가 나왔습니다. 이는 현재 Gold Eagle 개념의 핵심으로 보이는 조합입니다.

자동화된 취약성 발견을 위해 첨단 모델을 활용하기로 한 결정은 기술의 성숙도와 정부의 긴급성을 모두 반영합니다. 이제 AI 시스템은 수백만 줄의 코드를 조사하여 수동 검토보다 훨씬 빠르게 메모리 안전 결함, 주입 취약점 및 잘못된 구성과 관련된 패턴을 식별할 수 있습니다. 이러한 AI 플래그가 지정된 결과가 안정적으로 패치된 시스템으로 변환되는지 여부는 정보센터가 적용하는 우선순위 논리와 자동화된 보고서에 따라 조치를 취하려는 유지관리자의 의지에 크게 좌우됩니다.

규제 산업에 미치는 영향

금융 기관 및 기타 규제가 심한 부문의 경우 정보 센터는 결국 취약성 공개 및 해결이 정부와 협력하는 방식을 재구성할 수 있습니다. 소비자 금융 모니터(Consumer Finance Monitor)는 설계상 중요 인프라에 대한 프로그램 범위가 광범위함에도 불구하고 이 계획이 은행과 대출 기관에 미치는 영향은 아직 명확하지 않다고 지적했습니다. 우선순위가 높은 문제 해결 지침을 전달하는 정부 지원 파이프라인은 중요 부문 조직이 내부 조사 결과를 분류하는 방법에 대한 사실상의 표준이 되어 자발적인 협력과 규제 기대 사이의 경계를 모호하게 만들 수 있습니다.

무급이나 자원 부족으로 일하는 오픈 소스 관리자들 역시 큰 영향을 받을 것입니다. 검증된 보고서를 관리자에게 직접 라우팅하는 Gold Eagle의 모델은 소음을 필터링하여 부담을 덜어줄 수 있을 뿐만 아니라 이미 부족한 소수의 지원자 그룹에 패치 압력을 집중할 수도 있습니다. 프로그램이 해당 유지관리자를 어떻게 보상하거나 지원하는지에 대한 질문은 여전히 남아 있습니다.

Gold Eagle 프로그램은 생성 AI를 연방 정부의 사이버 방어 태세에 대규모로 접목시키려는 가장 구체적인 시도 중 하나를 나타냅니다. 발견과 패치 사이의 시간을 단축하겠다는 약속을 이행할 수 있는지 여부는 AI 도구의 품질, 민간 부문 참여의 깊이, 결과를 투명하게 공개하려는 정부의 의지에 달려 있습니다.