AI가 의료 오픈소스에서 38개 CVE를 찾아냈다, OpenEMR 사태로 본 자동화 보안 감사의 현재

의료 소프트웨어에서 발견된 38개의 보안 구멍

보안 회사 AISLE이 의료용 오픈소스 EMR(전자의무기록) 시스템인 OpenEMR에서 무려 38개의 CVE(공식 보안 취약점) 를 발견했다고 발표했어요. CVE가 뭐냐면, 전 세계적으로 통용되는 보안 취약점 식별 번호 체계예요. 하나라도 받으면 "이거 진짜 위험한 문제다"라고 공인된 셈이거든요. 그런데 38개라는 건 거의 한 제품에서 한꺼번에 터진 사례로는 정말 큰 규모예요.

더 충격적인 건 OpenEMR이 전 세계 약 10만 곳의 의료기관에서 쓰이고 있다는 점이에요. 작은 동네 병원부터 개발도상국의 공공 의료 시스템까지 광범위하게 쓰여요. 그러니까 이 취약점들이 실제로 악용되면 환자 진료기록, 처방 정보, 보험 정보 같은 민감한 데이터가 그대로 새어나갈 수 있다는 얘기죠.

어떤 종류의 취약점들인가요

38개 중에는 우리가 보안 강의에서 자주 듣는 단골 메뉴들이 다 들어 있어요. SQL 인젝션(공격자가 입력창에 악성 SQL 코드를 넣어서 DB를 조작하는 공격), XSS(크로스 사이트 스크립팅, 다른 사용자 브라우저에서 악성 스크립트를 실행시키는 공격), 인증 우회, 임의 파일 업로드, 권한 상승 같은 것들이에요.

특히 심각한 건 인증되지 않은 사용자가 원격에서 코드를 실행할 수 있는(RCE) 취약점이 포함되어 있다는 점이에요. RCE는 보안 취약점 중에서도 최상급 위험도예요. 공격자가 로그인도 안 하고 그냥 인터넷에서 서버에 명령을 실행할 수 있다는 뜻이거든요. 의료 시스템에 이런 취약점이 있으면 랜섬웨어 공격자들이 가장 좋아하는 먹잇감이 돼요. 실제로 미국이나 유럽에서 병원 랜섬웨어 사태가 터질 때마다 환자 수술이 미뤄지고 응급실이 마비되는 일이 반복되고 있죠.

AI가 보안 감사를 했다는 게 핵심

이번 발표에서 가장 흥미로운 포인트는 AISLE이 AI 기반 자동 코드 분석으로 이 취약점들을 찾았다는 점이에요. 전통적인 보안 감사는 사람이 코드를 한 줄 한 줄 읽거나, SAST(정적 분석 보안 테스트) 도구를 돌려서 패턴 매칭으로 의심 지점을 잡아내는 방식이었어요. 그런데 SAST 도구들은 "이런 함수는 위험하다" 같은 룰 베이스라서 false positive(오탐)가 엄청 많이 나오고, 진짜 취약점은 놓치는 경우도 잦아요.

AISLE 같은 신세대 도구들은 LLM을 활용해서 코드의 맥락(context)을 이해해요. 예를 들어 사용자 입력이 어디서 들어와서 어떤 함수들을 거쳐 DB 쿼리에 도달하는지를 추적하고, 그 경로에 적절한 검증 로직이 있는지를 "이해"해서 판단하는 거예요. 이게 가능해진 건 GPT-4급, Claude급 모델들이 수만 줄짜리 코드베이스의 흐름을 어느 정도 따라갈 수 있게 됐기 때문이에요.

비슷한 흐름의 도구들로는 Snyk Code의 DeepCode, GitHub의 Copilot Autofix, Semgrep Pro, 최근에 나온 Google의 Big Sleep(LLM 기반 취약점 탐지 에이전트) 같은 게 있어요. 특히 Google Big Sleep은 작년에 SQLite에서 0-day 취약점을 자동으로 찾아낸 사례로 화제가 됐었죠. 이번 OpenEMR 사례는 "AI가 실험실 데모를 넘어 진짜 프로덕션 오픈소스에서 의미 있는 결과를 내고 있다"는 또 하나의 증거예요.

오픈소스 보안 책임 문제

이런 사태가 터지면 항상 따라오는 논쟁이 있어요. 누가 책임지냐 하는 문제예요. OpenEMR은 무료 오픈소스이고, 자원봉사자들과 일부 후원사들이 운영해요. 그런데 그걸 가져다가 환자 데이터를 다루는 데 쓴 의료기관이 10만 곳이고요. 만약 이 취약점이 악용돼서 사고가 나면, 그게 OpenEMR 메인테이너의 책임일까요, 아니면 그걸 검증 없이 운영한 병원의 책임일까요?

현실적으로는 "무료로 가져다 쓰는 사람도 보안 검증 책임을 진다" 는 게 정답이에요. 하지만 작은 병원은 보안 인력 자체가 없는 경우가 대부분이라 사실상 빈틈이 그대로 노출되어 있는 셈이죠. 그래서 이런 AI 기반 자동 보안 감사 도구가 더 중요해지는 거예요. 적어도 "한 번 돌려보기만 해도" 가장 위험한 구멍은 막을 수 있으니까요.

한국 개발자에게 주는 시사점

첫째, 자기가 쓰는 오픈소스 의존성을 그대로 믿지 마세요. 한국 SaaS 회사들도 OpenEMR 같은 광범위 오픈소스를 가져다가 커스터마이징해서 서비스하는 경우가 많아요. 이런 의존성에 새 CVE가 떴는지 정기적으로 체크하는 습관이 필요해요. Dependabot, Renovate, OSV-Scanner 같은 도구를 CI에 붙여두면 자동으로 알려줘요.

둘째, AI 기반 보안 감사 도구를 한 번쯤 도입해보세요. GitHub Advanced Security, Snyk, Semgrep 같은 도구들이 무료 또는 저렴한 티어를 제공해요. 자기 코드베이스에 한 번 돌려보면 "어 이런 게 취약점이었어?" 하는 발견이 꽤 많이 나올 거예요.

셋째, 의료, 금융, 공공 같은 도메인에서 일하는 분들은 특히 주의하세요. 한국에서도 의료법, 개인정보보호법에 따라 개인정보 유출 사고가 나면 과징금이 굉장히 커요. 사후 대응보다 사전 감사가 훨씬 싸요.