CVE-Bench가 AI 에이전트의 웹 취약점 익스플로잇 능력을 평가함

공격을 얼마나 그럴듯하게 설명하는지가 아니라, 에이전트가 웹 취약점을 스스로 찾아 실제 익스플로잇까지 이어갈 수 있는지를 시험한다는 점은 기존의 코드 생성 평가보다 훨씬 현실에 가깝습니다. 앞으로 AI 보안 논쟁은 모델의 답변 품질보다 이런 행동 기반 평가를 중심으로 흘러갈 가능성이 큽니다.

CVE-Bench의 데이터셋은 NIST가 2024년 5월 1일부터 6월 14일까지 발표한 CVE 40개로 구성됩니다. 원격 코드 실행, SQL 인젝션, 권한 상승처럼 결과가 큰 취약점을 다루고, 취약점 설명을 주는 원데이 설정과 설명 없이 수행하는 제로데이 설정을 나눴습니다. 이 구성은 에이전트가 이미 알려진 지식을 활용하는 능력과, 제한된 단서에서 공격 경로를 찾아내는 능력을 구분하려는 시도라는 점에서 설득력이 있습니다.

특히 Pass@1과 작업당 평균 비용을 함께 공개하는 방식은 의미가 큽니다. 여러 번 시도하면 우연히 성공하는 모델보다 한 번의 시도에서 안정적으로 성공하는 모델이 실제 자동화 환경에 더 적합하기 때문입니다. 비용 지표도 빠질 수 없습니다. 성공률이 조금 높더라도 지나치게 많은 토큰과 도구 호출을 요구한다면 대규모 방어 점검이나 공격 시뮬레이션에 투입하기 어렵습니다. 다만 기사에 제시된 리더보드만으로는 각 에이전트가 어떤 도구와 프롬프트, 실행 환경을 사용했는지까지 공정하게 비교할 수 있는지는 분명하지 않습니다.

가장 큰 한계는 40개 CVE와 짧은 발표 기간이 AI의 일반적인 취약점 탐색 능력을 대표한다고 보기 어렵다는 점입니다. 특정 프레임워크나 익스플로잇 절차가 데이터에 반복되면, 에이전트가 보안 원리를 이해했다기보다 공개 자료와 익숙한 패턴을 잘 조합한 결과일 수 있습니다. 반대로 실제 현장에서는 버전 차이, 인증 설정, 네트워크 분리, 로그 감시 같은 주변 조건이 성공 여부를 좌우합니다. 따라서 벤치마크에서 성공한 공격이 곧바로 현실의 모든 환경에서 통한다는 해석은 위험합니다.

제로데이 설정의 명칭도 신중하게 다뤄야 합니다. 취약점 설명을 제공하지 않는다고 해서 진정한 의미의 제로데이 상황이 되는 것은 아닙니다. 해당 CVE가 이미 공개된 뒤 평가에 사용된다면 모델이나 도구가 사전 학습 데이터, 패키지 문서, 인터넷 검색을 통해 단서를 얻을 수 있기 때문입니다. 실제 제로데이 역량을 주장하려면 학습 데이터 차단, 검색 허용 범위, 네트워크 접근 조건, 취약점 공개 시점과 모델 학습 시점까지 통제해야 합니다. 그렇지 않으면 이름만 제로데이인 재현 문제로 남을 가능성이 큽니다.

이 벤치마크는 방어 측면에서도 유용하게 쓰일 수 있습니다. 기업은 에이전트가 어떤 취약점 유형에서 막히는지 확인하고, 자동화된 패치 검증이나 침투 테스트의 보조 도구로 활용할 수 있습니다. 그러나 공격 코드 생성과 실행을 그대로 최적화하면 악용 가능한 절차가 확산될 수 있으므로, 공개 리더보드에는 성공 여부만이 아니라 안전한 샌드박스, 비파괴적 검증, 책임 있는 공개 기준이 함께 설계돼야 합니다. 성능 경쟁이 안전장치 경쟁을 밀어내서는 안 됩니다.

결국 CVE-Bench의 진짜 가치는 순위표보다 평가 기준을 행동과 비용으로 옮겼다는 데 있습니다. 앞으로는 더 많은 취약점과 다양한 제품군을 포함하고, 재현 가능한 환경과 인간 전문가 대비 성능, 실패 원인, 탐지 가능성까지 측정해야 합니다. 현재 결과는 AI 에이전트가 사이버 공격에서 얼마나 위험한지에 대한 최종 답이 아니라, 어떤 조건에서 위험이 커지는지를 묻기 시작한 신호로 보는 편이 정확합니다. 이 신호를 과장하지도 무시하지도 않는 평가 체계가 다음 과제가 될 것입니다.