레드햇은 AI가 보안 취약점을 빠르게 찾아내는 환경에서도 조율된 취약점 공개(CVD) 원칙이 더 중요해지고 있다고 3일 밝혔다. AI는 개발팀이 평가하고 수정하는 속도보다 빠르게 잠재 결함을 찾을 수 있지만, 실제 악용 가능성을 확인하고 영향 범위를 파악하며 안전한 패치를 준비하는 일은 여전히 전문가의 검증이 필요하다는 설명이다. 회사는 이를 ‘취약점 대재앙(Vulnpocalypse)’ 흐름과 연결해, 탐지 속도만 높아져서는 대응 품질이 따라오지 못할 수 있다고 봤다.
레드햇은 특히 취약점 공개 전 일정 기간 정보를 제한적으로 공유하는 엠바고가 중요하다고 강조했다. 이는 정보를 숨기기 위한 조치가 아니라 개발자, 공급업체, 운영자가 수정과 배포를 준비할 시간을 확보하는 절차라는 설명이다. 로그4쉘, 하트블리드, 스펙터, 멜트다운 같은 사례도 코드 수정만으로 끝나지 않았고, 시스템 전반의 검증과 업데이트, 공급업체 간 협력이 필요했다. 또한 AI가 만든 제보가 늘면 소규모 오픈소스 팀이 중복되거나 실효성이 낮은 보고를 처리하느라 부담을 질 수 있어, 실제 위험도에 따라 공개 방식을 조정하고 업스트림 프로젝트의 검증·수정·테스트 역량을 지원해야 한다고 제안했다.