이제 사이버 보안은 결국 ‘얼마를 투자하느냐’의 문제가 됐습니다. AI가 공격의 대부분을 수행하게 된다면 질문은 단순해집니다.
“공격자가 취약점을 찾기 위해 최첨단 AI에 쓰는 돈과 비교해, 우리는 방어를 위해 얼마를 쓰고 있는가?”
Claude가 이 취약점을 8분 만에 찾아냈고, GLM도 20분 만에 재발견했다는 사실은 COLDCARD 측이 사실상 아무것도 하지 않았다는 뜻입니다. 출시 전 AI를 활용한 보안 강화가 전혀 이뤄지지 않았던 것이죠.
COLDCARD는 비트코인 하드웨어 지갑 시장에서 약 2%의 점유율을 가진 소규모 업체로 추정됩니다. 여기서 얻을 수 있는 교훈은 분명합니다.
특히 암호화폐 지갑처럼 보안이 중요한 제품 시장은 충분한 자금으로 보안 검증에 투자할 수 있는 대형 업체 중심으로 재편될 것입니다. 의미 있는 자금력이 없는 소규모 업체는 결국 살아남기 어려울 가능성이 큽니다.
두 번째로, 앞으로는 취약점의 심각성을 판단하기 위해 ‘공격 발견 비용’을 표준화해 보고할 수 있습니다. 이를 CoD(Cost of Discovery)라고 부를 수 있습니다.
즉, 최첨단 AI 모델이 동일한 취약점을 발견하는 데 드는 비용이 얼마인지를 측정하는 것입니다.
공유된 Claude Code의 발견 사례는 웹 검색을 통해 이미 공개된 정보를 참고했을 가능성이 있어 다소 의심스럽습니다. 하지만 다른 사용자가 GLM 5.2의 웹 접근을 완전히 차단한 상태에서도 20분 만에 동일한 취약점을 재발견했습니다.
ZhipuAI API 가격이 입력 100만 토큰당 1.40달러, 출력 100만 토큰당 4.40달러이고 처리 속도가 초당 35토큰이라는 점을 기준으로 계산하면, 이번처럼 코드를 대량으로 읽는 에이전트형 작업에서 이 취약점의 총 발견 비용은 약 2달러였다고 Opus는 추정했습니다.
단 2달러어치의 AI 보안 검증만 수행했어도 이 버그를 발견할 수 있었다는 뜻입니다.
변명의 여지가 없습니다.
앞으로 취약점이 독립적으로 재현될 때마다 발견 비용(CoD)을 함께 보고해야 합니다. 다만 기업이 실제로 AI 보안 강화에 얼마를 쓰는지는 공개하지 않는 편이 좋습니다. 공격자에게 “이 금액 이상을 쓰면 무언가를 찾을 수 있다”는 힌트를 줄 수 있기 때문입니다.
스타트업이 어떤 제품을 만들고 있다면 모든 배포 버전에 AI 보안 검증을 반드시 적용해야 합니다. 특히 개인키 복구나 스마트컨트랙트 자금 탈취처럼 공격 성공 여부를 명확하게 검증할 수 있는 제품이라면, 최첨단 모델을 활용한 치명적 취약점 탐색에 최소 수천 달러는 투입해야 합니다.
이번 사건으로 돈을 잃은 모든 분께 진심으로 위로를 전합니다. AI는 실제로 보안의 판도를 바꾸고 있으며, 많은 사람이 그 변화에 제때 적응하지 못했습니다.
하지만 장기적으로는 AI 덕분에 이전보다 훨씬 안전한 환경이 만들어질 것이라고 생각합니다.
우리에게는 적응하는 것 외에 다른 선택지가 없습니다.