AI 코드 보안 위기: AI 생성 코드의 31.6%가 악용 가능… 사이틱스의 700만 달러 솔루션

AI 코딩 어시스턴트(깃허브 코파일럿 등)와 에이전틱 워크플로우는 소프트웨어 개발 방식을 완전히 바꿔놓았지만, 동시에 사이버 보안에 새로운 위험 전선을 열었습니다. 2026년에 발표된 연구에 따르면 AI 생성 코드 샘플의 31.6%는 완전히 악용 가능(fully exploitable)하며, 조직의 69%는 이미 AI 작성 코드에서 취약점을 발견했습니다. 특히 조직 5곳 중 1곳은 해당 코드와 관련된 심각한 보안 사고를 경험했습니다.

동시에 AI 기반 개발의 속도는 전통적인 보안 검토 프로세스를 무의미하게 만들었습니다. 취약점 대응 창(window)이 며칠에서 12시간에서 72시간 사이로 급격히 줄어들었습니다. 변화의 규모와 속도가 너무 빨라 보안 팀이 모든 풀 리퀘스트를 수동으로 검토하는 것은 더 이상 불가능하며, 단 하나의 위험한 변경을 놓쳤을 때의 비용은 치명적일 수 있습니다.

이러한 배경 속에서 맨체스터에 본사를 둔 사이버 보안 스타트업 사이틱스(Cytix)는 엔터프라이즈 소프트웨어 개발에 새로운 형태의 통제 계층을 도입하기 위해 700만 달러 규모의 시리즈 A 투자를 유치했습니다(2026년 8월 12일 마감, Northern Gritstone 주도, Auriga Cyber Ventures 및 NPIF II – PXN Equity Finance 참여). 이 회사의 변경 위험 관리 플랫폼은 기존 스캐닝 도구가 답하지 못하는 질문, 즉 "어떤 변경 사항이 실제로 중요한가?", "그 변경 사항이 어떤 위험을 수반하는가?", "그리고 대응이 적절했다는 증거는 무엇인가?"에 답하기 위해 설계되었습니다.

AI 기반 개발이 만든 5가지 사이버 보안 과제

세계경제포럼(WEF), 체크 포인트(Check Point), IOActive 등 주요 사이버 보안 기관의 연구는 AI 기반 소프트웨어 개발이 만들어낸 뚜렷하고 측정 가능한 위험들을 제시합니다.

1. 악용 가능한 AI 생성 코드. IOActive의 2026년 평가에 따르면 AI 생성 코드 샘플의 31.6%는 완전히 악용 가능합니다. 즉, 공격자가 취약점을 이용해 시스템을 성공적으로 손상시킬 수 있다는 의미입니다. 기존 보안 도구는 이러한 결함을 부분적으로만 감지합니다. Aikido의 '2026년 AI 보안 및 개발 현황' 보고서는 조직의 69%가 AI 작성 코드에서 취약점을 마주했으며, 5곳 중 1곳은 이로 인해 심각한 보안 사고를 겪었다고 밝혔습니다.

2. 보안 모델을 앞지르는 개발 속도. 체크 포인트 리서치는 AI가 코드를 분석해 대규모로 작동 가능한 익스플로잇을 생성할 수준에 도달했으며, 취약점 대응 기간이 전통적인 며칠에서 12~72시간으로 단축되었다고 보고합니다. 사람의 속도에 맞춰진 검토 프로세스로는 기계 속도의 개발 주기를 따라잡을 수 없습니다.

3. 위험 컨텍스트의 상실. 기존 스캐닝 도구는 개별 취약점을 식별할 수 있지만, 어떤 변경이 비즈니스에 실제로 중요한지, 어떤 환경을 대상으로 하는지, 어떤 위험을 수반하는지에 대한 이해가 부족합니다. 이는 알림 피로(alert fatigue)와 잘못된 우선순위 설정으로 이어집니다.

4. 규제 리스크 증가. WEF의 '글로벌 사이버 보안 전망 2026' 설문조사에 따르면 보안 리더의 87%가 AI 관련 취약점을 2025년 동안 가장 빠르게 성장한 사이버 위험으로 꼽았습니다. 가트너는 2027년까지 AI 관련 데이터 유출의 40% 이상이 생성형 AI(GenAI)의 부적절한 사용에서 비롯될 것으로 추정합니다. GDPR, SOC 2 또는 업계별 규정을 준수해야 하는 조직은 AI 생성 코드를 평가했다는 증거를 제시해야 하는 압박에 직면해 있습니다.

5. 섀도우 AI 및 공급망 리스크. 현재 활발한 공격 벡터에는 프롬프트 인젝션, AI 도구를 통한 민감 정보 유출, 그리고 AI 공급망 손상(모델에 백도어를 심거나 종속성을 오염시키는 것) 등이 포함됩니다. 딜로이트는 직원이 통제되지 않는 AI 도구를 사용하는 '섀도우 AI'를 가장 시급한 내부 위험 중 하나로 지목합니다.

사이틱스의 변경 위험 관리 플랫폼 작동 방식

사이틱스는 자사 플랫폼을 SDLC(소프트웨어 개발 수명 주기)와 리스크, 보안, 컴플라이언스 기능 사이에 위치한 "보안 의사결정 레이어(security decision layer)"로 설명합니다. 이는 기존 스택에 또 다른 스캐닝 도구를 추가하는 대신, 모든 소프트웨어 변경 사항이 통과하는 하나의 통제 지점 역할을 합니다. 즉, 변경 사항을 이해하고, 보안 조치를 결정하며, 위험을 검증하고, 규제 기관을 위한 증빙 자료를 제공합니다. 플랫폼은 4단계로 작동합니다.

실시간 가시성(Real-time visibility). 사이틱스는 모든 소프트웨어 변경(티켓, 풀 리퀘스트, 코드 차이(diff), 릴리스)을 지속적으로 모니터링하며, 각 변경 사항의 컨텍스트(자산, 환경, 이력)를 읽어냅니다. 시스템 환경에 대한 지속적인 지식 그래프(knowledge graph)를 유지 관리하여 팀이 실제 위험을 수반하는 변경 사항을 즉시 확인할 수 있도록 합니다.

즉각적인 위험 평가(Instant risk assessment). 모든 변경 사항을 동일하게 취급하지 않고, 발생한 일을 평가하여 비례적인 대응(추가 컨텍스트 확인, 보안 검토, 위협 모델링, 특정 테스트 등)을 결정합니다. 위험이 낮은 변경은 자동 승인되고, 위험이 높은 변경은 적절한 수준의 검토를 거칩니다.

안내된 검증 및 조치(Guided validation and action). 플랫폼은 적절한 대응(AI 주도, 인간 검토 또는 NCC Group 및 KPMG와의 파트너십을 통한 파트너 제공)을 실행하여, 적절한 처리가 이루어지지 않은 위험한 변경이 진행되지 않도록 보장합니다.

컴플라이언스 증빙(Compliance evidence). 모든 결정, 조치 및 결과는 해당 변경 사항에 영구적으로 연결되어 하나의 연결된 보증 기록(connected record of assurance)을 생성합니다. 거버넌스, 리스크, 컴플라이언스(GRC) 팀은 어떤 변경이 평가되었는지, 어떤 조치가 취해졌는지, 누가 책임을 졌는지에 대해 압박을 받는 상황이 아닌, 필요할 때 즉시 증명할 수 있습니다.

이것이 지금 중요한 이유

사이틱스의 CEO 벤 암스트롱(Ben Armstrong)은 문제를 간단히 정의합니다. "기존 도구는 어떤 취약점이 있는지는 알려줄 수 있지만, 그 위험이 무엇인지는 알려주지 못합니다. 우리는 그 위험을 통제하기 위해 사이틱스의 변경 위험 관리 플랫폼을 출시했습니다".

이 플랫폼의 접근 방식(컨텍스트 인지, 위험 기반, 증거 생성)은 사이버 보안 업계의 더 넓은 변화를 반영합니다. AI 코드 생성이 계속해서 가속화됨에 따라, 개발 속도와 보안 보증 사이의 격차는 새로운 전쟁터가 되고 있습니다. 700만 달러의 시리즈 A 투자를 바탕으로 사이틱스는 기업이 모든 변경 사항에 대한 정책 및 증빙 레이어에 비용을 지불할 의사가 있으며, 설립된 컨설팅 업체들이 유통과 신뢰를 제공할 것이라고 확신하고 있습니다.

보안 리더들에게 데이터는 명확합니다. AI가 생성한 코드 샘플 3개 중 거의 1개는 완전히 악용 가능하며, 대응해야 할 시간은 며칠이 아닌 몇 시간 단위로 측정됩니다. 이제 문제는 AI가 가속화한 개발이 위험을 창출하는지 여부가 아니라, 당신의 보안 모델이 이를 처리할 수 있도록 구축되었는지입니다.

본 기사는 2026년 8월 13일에 게재되었으며, 2026년 8월 12일의 자금 조달 발표를 반영하여 업데이트되었습니다.