취약점 공시 120% 증가 추정…글래스윙 참여 조직 13곳 분석

본문

퀸메리런던대 연구자는 글래스윙 참여 조직 13곳과 중국 기업 267곳을 비교해 약 120% 증가를 추정했다. 프로젝트 글래스윙(Project Glasswing) 참여 조직의 공개 취약점 공시가 중국 기업 비교군보다 약 120% 늘어난 것으로 추정됐다. 퀸메리런던대 연구자 토머스 모스크(Thomas Mosk)는 11월 4일 공개한 사전 공개 논문에서 2025년 10월부터 2026년 9월까지의 자료를 분석했다. 비교 대상은 글래스윙 관련 조직 13곳과 중국 기업 267곳이다. 프로그램 접근 전 참여 조직의 월평균 공시 29건을 기준으로 환산하면, 조직당 한 달에 약 36건이 더 공개된 규모다. 영향도가 표본 중앙값보다 높은 취약점 공시도 비교군보다 약 150% 늘어난 것으로 추정됐다. 참여 조직은 무작위로 선정되지 않았고, 비교군인 중국 기업에는 다른 공시 규정과 관행이 적용된다.

제로데이 이니셔티브(Zero Day Initiative·ZDI)에 보고된 취약점 658건으로 공급사의 수정 기간을, 데비안(Debian)·우분투(Ubuntu)·레드햇(Red Hat)·SUSE가 추적한 취약점 1만4855건으로 패치 배포를 분석했다. 배포판이 패치를 내기까지 걸린 기간의 중앙값은 1일이었지만, 90일 안에 수정된 비율이 약 11%포인트 낮아졌을 가능성까지 배제할 수는 없었다. 앤스로픽은 5월 22일 업데이트에서 약 50개 파트너가 고위험·치명적 취약점 1만 건 이상을 찾았다고 발표했다. 이는 회사가 집계한 발견 건수로, 실제 공개된 취약점이나 논문의 13개 조직 표본에서 확인한 공시 건수와는 다른 지표다. 취약점 식별자 예약부터 공개까지 걸린 기간의 중앙값은 모델 접근 전 75일에서 이후 22일로 줄어 새 발견 증가와 더 부합했다.