취약점 관리라는 알파벳 수프 — 약어가 뒤엉킨 생태계, 그리고 NVD의 앞날

2026년 8월, 미국 국립표준기술연구소(NIST)가 운영하는 국가 취약점 데이터베이스(NVD)가 「Shaping the NVD for the Future: AI 기반 취약점 관리에 대한 여러분의 의견이 필요합니다」라는 블로그 글을 게시하며, 연방관보(Federal Register)에 정보 요청서(RFI)를 올리고 공개 의견 수렴 절차를 시작했습니다. 저로서는 더없이 반가운 소식이라, 취약점 관리 분야에 계신 분들이 이 의견 개진 기회를 놓치지 않으셨으면 하는 마음에 이 글을 씁니다.

세 글자 약어(TLA)의 세계

그런데 애초에 NVD란 무엇일까요? 협력적 취약점 공개(CVD) 분야에 깊이 몸담고 있는 분이 아니라면, 우리가 담당하는 네트워크에서 취약점을 찾아낼 때마다 의존하게 되는 이 약어투성이 체계들 사이의 미묘한 차이를 어렴풋하게만 알고 계실 가능성이 큽니다.

CVE는 전 세계 공통의 '취약점 작명 사전'이며, 주로 cve.org에 자리 잡고 있습니다. 엄밀히 말해 CVE가 관심을 두는 것은 공개된 기술적 취약점을 정확히 식별하고, 이름을 붙이고, 목록화하는 일뿐입니다. CVE는 정부 프로그램이 아니라(도메인이 .org라는 점에 주목하십시오) 국제적인 자원봉사 주도의 활동이며, 현재는 전적으로 미국 국토안보부(DHS)가 사이버보안 및 인프라 보안국(CISA)을 통해 자금을 지원하고 있습니다. 그리고 그 비용으로 운영되는 인프라 대부분은 비영리 연방출연연구기관(FFRDC)인 MITRE가 관리합니다. 소프트웨어 벤더, 국가 CERT, 선의를 가진 연구자에 이르기까지 수백 곳의 CVE 넘버링 기관(CNA)이 존재하며, CVE는 이곳에서 태어납니다(그리고 아주 드물게 사라지기도 합니다). 오늘날 소프트웨어 취약점이 CVE ID 없이 며칠 이상 알려져 있는 경우는 매우 드뭅니다.

반면 NVD는 이 글의 첫 문단에서 분명히 드러나듯, 명백한 미국 연방정부 프로그램입니다. 전통적으로 NVD는 CVE를 가져와 여러 후속 정보를 덧붙이는 역할을 해 왔습니다. 공통 취약점 등급 시스템(CVSS) 지표, 공통 약점 분류 식별자(CWE ID), 공통 플랫폼 열거(CPE) 문자열 같은 요소들이 그것입니다. 또한 NVD는 모든 소프트웨어에 이름을 붙이려는 시도인 CPE 데이터베이스의 표준 원본을 유지·관리합니다. 이는 그 자체로 대단히 복잡한 작업이며(누군가는 '이름 짓기(Naming Things)'가 오늘날 컴퓨터 과학에서 말 그대로 가장 어려운 문제라는 책까지 썼습니다), CVE에 CPE를 연결하고 싶다면 NVD가 바로 그 진실의 원천입니다.

정리하면, CVE는 "CVE-2025-8452" 같은 이름과 함께 특정 프린터 펌웨어 버전에서 민감 정보가 유출된다는 기본 설명을 만들어냅니다. 그 뒤에 NVD가 등장해 맥락을 덧붙입니다. "이게 얼마나 심각한가? CVSS 4.3이니 중간 정도로 나쁘다. 어떤 유형의 취약점인가? CWE-538, 즉 공격자가 비밀 정보를 읽을 수 있는 유형이다."

사람의 손으로는 더 이상 감당할 수 없다

문제는 NVD가 지난 몇 년간 이러한 메타데이터 보강(enrichment) 작업을 일관되게 수행하지 못하고 있다는 점이며, 이는 상당히 큰 아쉬움으로 남습니다. 2024년, 취약점 공개 속도가 NVD의 처리 역량을 넘어섰습니다. 모든 작업이 사람의 손으로 큐레이션되고 있었기 때문입니다. 여기에 예산 삭감까지 겹치면서 NVD는 최소한의 보강 작업조차 수행하기 어려운 난처한 상황에 놓였습니다. 그리고 이는 다시 미국 연방정부가 그날그날의 취약점을 수집하고 대응하는 방식에도 영향을 미치고 있습니다. 미국 정부 자체가 NVD의 후속 보강 데이터를 대량으로 소비하는 주요 이용자이기 때문입니다.

공교롭게도 이 글을 쓰는 지금 저는 VulnCheck의 In the Wild 웹캐스트를 시청하고 있는데, 이 지연 문제가 슬라이드 한 장에 그대로 요약되어 있었습니다.

결국 NVD가 합리적으로 처리할 수 있는 규모는 연간 약 30,000건의 취약점 수준에서 사실상 한계에 도달한 것으로 보이며, NVD는 이 역할을 온전히 되찾되 이번에는 '머신 속도'로 수행할 수 있는 전략과 해법을 찾고 있습니다. 취약점 공개 속도가 조만간 느려질 조짐은 전혀 없습니다. 이것이 온전히 AI의 '잘못'은 아니지만, AI 도구가 더 많은 CNA와 연구자, 그리고 실제 공격자들이 취약점 공개 파이프라인의 앞단을 채우도록 '거들고' 있는 것만은 분명합니다.

AI, 모든 문제의 원인이자 해법인가?

LLM 기반 요약 기법을 취약점 설명, 분류, 등급 산정에 도입하는 데에는 장점과 단점이 모두 존재합니다. 이런 도구에는 돈이 들지만 NVD에게는 그럴 여유가 많지 않고, 산출물 또한 전적으로 신뢰할 수 있는 것은 아닙니다. NVD는 자신들이 NVD로서 해야 할 일에 시간과 역량을 어떻게 써야 할지에 대해 대중의 의견, 정확히는 연방정부에 몸담고 있지 않은 전문가들의 의견을 구하고 있습니다.

그런데, 아예 하지 않는다면?

주목할 점은 이 RFI가 NVD에게 "이 보강 프로그램을 애초에 계속해야 하는가"를 말할 수 있는 좋은 기회이기도 하다는 것입니다. 2024년 2월 NVD 기반 보강 작업의 품질 저하가 공식적으로 인정되고 또 누구의 눈에도 명백해진 이후, CISA가 2025년 1월 Vulnrichment 프로그램을 출범시키며 그 공백을 이어받았습니다. 이 프로그램은 CVE 데이터에 대해 사실상 같은 종류의 보강 작업을 '대부분' 수행합니다. '대부분'이라고 표현한 이유는, 출범 직후 CISA가 CPE를 정확하게 만들어내는 일이 실제로는 대단히, 정말로 어렵고, NVD만이 고유하게 수행할 자격을 갖춘 작업이라는 사실을 깨달았기 때문입니다.

그렇다고 해서 CISA 역시 자체적인 예산 위기를 겪었으니, DHS와 상무부라는 두 연방 부처가 이 보강 작업을 나눠 맡는 구조가 향후의 예산 소동에 대한 좋은 방어막이 되어 줄 수도 있지 않을까요? 누군가는 이것을 불필요한 중복이자 낭비라고 볼 것이고, 저는 시스템 설계에 있어 중복성(redundancy)은 미덕이라고 말할 것입니다. 간단한 문제가 아닙니다.

결론적으로, 여기까지 읽으신 분이라면 NVD에게 필요한 것은 바로 당신의 의견입니다. 이번 RFI는 이례적으로 폭넓게 구성되어 상당히 넓은 기술 영역을 다루고 있으며, 논의되는 모든 영역에 전문성을 갖춘 사람은 사실상 없습니다. 그중 한두 영역에 대해서라도 근거 있는 견해를 가지고 계시다면, 2026년 10월 13일 RFI 마감 전에 NIST에 의견을 전달해 주십시오.