소프트뱅크, GPT-6 Astra 재진단서 취약점 3만5000건 추가 발견

소프트뱅크의 미야카와 준이치 사장 겸 CEO는 2026년 11월 9일 열린 2027년 3월기 2분기 실적 설명회에서 GPT-6 Astra로 자사 시스템을 다시 진단해 취약점 3만5000건을 추가로 발견했다고 밝혔습니다. CNET Japan 보도에 따르면 회사는 앞서 6월 15일 자체 개발 시스템 약 700개를 점검해 취약점 1만500건을 찾았고, 약 3개월 동안 모두 수정 패치를 적용했습니다. 이후 OpenAI가 9월 공개한 GPT-6 Astra로 재진단한 결과 추가 취약점이 나왔다는 설명입니다.

두 차례 진단의 대상 시스템 범위와 취약점 집계 기준이 같았는지는 CNET 보도에 제시되지 않았습니다. 따라서 1만500건과 3만5000건만으로 모델별 탐지 성능을 직접 비교하기는 어렵습니다. 미야카와 CEO는 새 모델로 사내 시스템을 시험할 때마다 이전에 찾지 못한 취약점이 발견된다고도 말했습니다.

점검 확대의 배경에는 자회사 IDC프론티어의 침해 사고가 있습니다. IDC프론티어는 10월 27일 공개한 조사 결과에서 공격자가 IDCF 클라우드 포털의 인증 시스템에 사용된 오픈소스 소프트웨어의 취약점을 악용해 침입했다고 밝혔습니다. 공격자는 관리 콘솔을 거쳐 가상화 기반 시스템의 관리자 권한을 부정하게 얻은 뒤 일부 고객의 가상 서버를 중단시키고 암호화했습니다. 영향을 받은 고객은 기업과 지방자치단체 495곳이며, IDC프론티어는 조사에서 가상 서버 데이터의 외부 유출은 없었다고 밝혔습니다.

CNET은 IDC프론티어가 자체 개발 부분에는 패치를 적용했지만, 침입 경로가 된 오픈소스 소프트웨어는 진단 대상에 포함하지 않았다고 전했습니다. 미야카와 CEO는 오픈소스도 점검하라고 지시했으나 현장에서 뒤로 미뤄졌다고 설명했습니다. 이후 소프트뱅크의 진단 대상은 자체 개발 시스템 약 700개에서 오픈소스 소프트웨어를 포함한 1800개 초과 시스템으로 확대됐습니다.

소프트뱅크는 OpenAI 모델을 활용해 취약점 진단과 수정 패치 적용을 돕는 서비스 ‘Patching as a Service’를 7월부터 본격 제공하고 있습니다. 소프트뱅크의 공식 IR 자료에 따르면 이 서비스의 신청 회사 수는 그룹사를 포함해 2026년 10월 30일 기준 7670곳입니다. CNET 보도는 회사가 이 진단·패치 지원 방식을 사내 시스템에도 적용했다고 전했습니다.

미야카와 CEO가 설명한 대응은 취약점 진단, 수정 패치 적용, 패치 뒤 정상 작동 여부 확인의 세 단계로 이뤄집니다. 여러 시스템이 서로 연결된 상태에서 함께 정상 작동하는지 확인하는 마지막 단계는 아직 사람이 맡고 있으며, 시간이 많이 듭니다. 미야카와 CEO는 현 회계연도 안에 이 확인 작업을 자동화하도록 요청했지만, 구체적인 완료일을 제시할 단계는 아니라고 말했습니다.