미국 CISA, AI 보안 취약점 해결 위한 '골드 이글' 이니셔티브 출범
2026년 7월 14일, 백악관과 미국 사이버보안·인프라보안국(CISA)은 민간 및 공공 부문 전반의 소프트웨어 결함 추적을 조율하기 위한 'CISA 골드 이글(Gold Eagle)' 이니셔티브의 세부 사항을 발표했습니다. 2026년 6월 2일에 서명된 행정명령 14409호에 따라 개발된 이 소프트웨어 도구는 인공지능을 활용해 시스템을 분석하는 기업과 기관이 대규모 AI 취약점 탐지 활동을 체계적으로 관리할 수 있도록 지원합니다. 본 시스템은 표준화된 클리어링하우스를 구축하여 취약점 관리 절차를 간소화하고 보안 결함을 검증하며 중복 연구 수고를 완벽히 제거합니다.
행정명령 14409호가 이니셔티브를 수립한 배경
행정명령 14409호는 2026년 6월 2일 트럼프 대통령이 연방 기관의 AI 사이버보안 역량 강화를 지시하며 서명했습니다. 이 명령의 결과로 사이버보안·인프라보안국(CISA)과 재무부는 조직이 소프트웨어 취약점을 탐지, 검증, 수정할 수 있도록 지원하는 골드 이글 시스템을 전격 도입했습니다.
골드 이글 사이버보안 클리어링하우스의 작동 방식
골드 이글 사이버보안 클리어링하우스는 CISA, 재무부, 국방부 및 민간 산업 파트너 간의 협력을 통해 구축된 중앙집중식 소프트웨어 플랫폼으로 작동합니다. 이 중앙 플랫폼을 통해 조직은 대규모 보안 발견 사항을 보고, 검증, 추적하는 동시에 당국이 작업 중복 없이 제출 건을 신속하게 처리할 수 있도록 돕습니다.
CISA VINCE 플랫폼과의 연계 방식
이 소프트웨어는 기존 CISA VINCE 플랫폼과 직접 연동되어 공공 및 민간 네트워크 전반에서 조율된 취약점 공개를 지원합니다. 취약점 정보 및 조율 환경(VINCE) 플랫폼이 전통적인 취약점 공개를 담당하는 동안, 골드 이글은 자동화된 AI 보고를 관리하여 보안 전문가 간의 연결성을 유지합니다.
기업의 골드 이글 취약점 보고 제출 방법
골드 이글 취약점 보고를 시작하려는 민간 파트너는 clearinghouse@cisa.dhs.gov 로 이메일을 보내 접수할 수 있습니다. CISA는 참여 기관이 보고 규모에 맞춰 가능한 경우 우선순위지정을 자동화할 것을 권장합니다. 기존 취약점은 여전히 VINCE에 제출해야 하며, 활성 사이버 침해 사고는 CISA에 직접 보고하고, 악의적인 AI 사용은 합동사이버방어협력체(JCDC)에 보고해야 합니다. 자세한 내용은 'AI 지원 사이버 리스크 대응: AI 사이버보안 클리어링하우스 구축'이라는 제목의 CISA 446.66 KB 리소스 문서에 담겨 있습니다.
온라인 쇼핑몰 및 기업에 미치는 변화
소프트웨어 개발사, 온라인 쇼핑몰, 기업 네트워크 구축업체에 이 소프트웨어는 AI 기반 보안 결함 공개가 급증하는 상황을 효율적으로 관리하는 과제를 해결해 줍니다. 취약점 검증 및 추적을 위한 표준화된 프레임워크를 제공함으로써 중복 연구 작업을 방지하고 교정을 가속화하며, 보안 팀이 정부 및 민간 파트너와 핵심 리스크 데이터를 안전하게 공유할 수 있도록 지원합니다.
자주 묻는 질문
AI 사이버보안 관련 행정명령 14409호란 무엇인가요?
행정명령 14409호는 AI 사이버보안 방어 강화를 목표로 2026년 6월 2일 트럼프 대통령이 서명한 대통령령입니다. 이 명령은 CISA와 재무부가 골드 이글을 설립하여 조직이 소프트웨어 취약점을 탐지, 검증, 수정할 수 있도록 지원하는 직접적인 계기가 되었습니다.
골드 이글은 CISA의 VINCE 플랫폼과 어떻게 통합되나요?
골드 이글은 조율된 취약점 공개를 지원하기 위해 CISA의 기존 취약점 정보 및 조율 환경(VINCE) 플랫폼과 함께 작동합니다. 기존 취약점 보고는 계속해서 VINCE를 통해 제출되며, 골드 이글은 대량의 AI 취약점 공개를 처리합니다.
조직은 골드 이글에 취약점 보고서를 어떻게 제출할 수 있나요?
조직은 clearinghouse@cisa.dhs.gov 로 이메일을 보내 AI 기반 보고서를 제출하고 CISA 및 재무부와 협력할 수 있습니다. AI 이외의 일반적인 취약점 공개의 경우 VINCE 플랫폼을 계속 사용해야 하며, 긴급 사이버 사고는 CISA로 직접 전달되고 악의적인 AI 활동은 합동사이버방어협력체(JCDC)로 접수해야 합니다.
MOZGII의 시각
우리라면 이렇게 만듭니다
저희라면 자동화된 취약점 보고서의 접수 파이프라인을 구축할 때 중복 제거 모델과 표준 스키마 파서부터 시작할 것입니다. 이 시스템은 이메일과 파트너 피드에서 들어오는 보고서를 수집하고, 영향을 받는 소프트웨어 구성 요소를 추출하며, 기존 데이터베이스의 알려진 공개 정보와 발견 사항을 대조할 것입니다. 점수 산정 도구는 서로 다른 자동 스캐너에서 발생한 동일한 보안 결함을 단일 작업 항목으로 그룹화할 것입니다.
시스템이 외부 벤더나 연방 기관으로 보고서를 전달하기 전에 보안 분석가가 플래그가 지정된 일치 항목을 검토할 것입니다. 저희는 패치되지 않은 결함 세부 정보가 검증된 파트너로만 제한되도록 엄격한 접근 제어를 적용할 것입니다. 자동화된 보안 도구가 수집 대기열에 저품질 또는 허위 발견 사항을 쏟아부으면 시스템이 마비될 것입니다. 접수 필터가 유효하지 않은 보고서 구조를 초기에 걸러내지 못하면 분석가는 금세 업무에 과부하가 걸릴 것입니다.
저희는 들어오는 보고서가 지정된 검토자에게 얼마나 빨리 도달하는지 측정하기 위해 제출 처리 시간을 주요 지표로 추적할 것입니다. 다음으로 저희는 사람의 검토에 앞서 격리된 샌드박스 환경에서 보고된 보안 결함을 테스트하는 자동화된 검증 커넥터를 구축할 것입니다.
출처
이 기사의 사실은 다음 출처에서 가져왔습니다.