무슨 일이 있었나
10월 15일 AWS는 자율 운영 침투 테스트 에이전트(현재 AWS Continuum의 일부)의 결과를 발표했다: 2025-26 CVE의 37개 라이브 컨테이너화 타깃에 대해(PoC/보고서 미제공, 런타임 CVE 조회 없음) 의도된 취약점을 통해 33개 플래그를 종단 간 캡처(89.2%)했으며, 2개는 재분류되었고 2개는 파괴적 가드레일로 인한 실패였다. 또한 암기 및 검색 오염 경로를 모두 비활성화하는 새로 내부 구축되어 지속적으로 갱신되는 신규 공개 CVE 벤치마크도 공개했다.
왜 중요한가
이는 8가지 취약점 클래스에 걸친 새로운(암기되지 않은) CVE에 대한 실제 악용에서 자율 공격형 AI의 신뢰할 수 있고 독립적으로 감사된 측정이다 — 포화된 공개 벤치마크보다 더 강력한 신호이다. 이는 최첨단 에이전트의 새로 공개된 취약점 활용이 프로덕션 수준에 근접했음을 검증하며, 에이전트형 침투 테스트 구매자와 AI/ML 플랫폼 방어자(자체가 타깃 목록에 포함됨) 모두 주목해야 한다.
적용 범위
자율 침투 테스트/취약점 검증 에이전트를 평가하는 보안 팀은 직접 비교 벤치마크를 참조해야 하며, AI 플랫폼 및 웹 프레임워크 유지보수자는 신규 CVE 악용이 에이전트에 의해 가능하다고 가정하고 그에 따라 강화해야 한다.