애플이 보안 업데이트 주기를 버린 진짜 이유

애플은 지금까지 사소한 보안 수정은 다음 정기 업데이트에 묶어서 내놓는 쪽을 택해왔다. iOS 26.6처럼 이름 붙은 큰 릴리스가 나올 때 자잘한 패치를 한꺼번에 얹어 왔다. 그런데 6월 29일, 애플은 이 관행을 사실상 접었다. 로이터 보도에 따르면 애플은 원래 26.6에 넣으려던 보안 수정 사항을 앞당겨 iOS·iPadOS·macOS 26.5.2로 조기 배포했고, 그 이유로 AI가 악성 해킹 도구 개발 속도를 끌어올리고 있다는 점을 직접 언급했다. 취약점이 실제로 악용됐다는 증거는 없다고 밝혔지만, 그럼에도 서둘러 낸 것이다.

이 대목이 중요한 건 애플이 "공개와 배포 사이의 시차"를 위협으로 규정했다는 점이다. 보안 취약점은 원래 발견부터 패치까지 시차가 존재할 수밖에 없고, 그 틈을 노리는 게 해커의 일이었다. 그런데 그 틈을 파고드는 쪽의 속도가 AI 때문에 빨라지니, 방어하는 쪽도 시차를 줄이는 수밖에 없다는 논리다. 이번 26.5.2에는 iOS·macOS·사파리를 합쳐 37건의 CVE 수정이 담겼는데, ZDI 집계로는 그중 31건이 WebKit, 즉 사파리 엔진과 그 주변 몫이었다. 웹 엔진은 사용자가 매일 링크를 눌러 여는 자리라 공격에 노출되는 면적이 가장 넓다. 여기서 시차를 줄이면 그만큼 노출 시간이 바로 줄어든다.

AI가 취약점을 찾는 건 이미 남의 얘기가 아니다

이걸 애플만의 호들갑으로 보기 어려운 건, 방어 쪽에서도 AI가 이미 실전에 쓰이고 있어서다. 구글은 딥마인드와 프로젝트 제로가 함께 만든 AI 에이전트 빅슬립(Big Sleep)으로 2024년 11월 첫 실제 취약점을 찾아냈고, 2025년에는 위협 인텔리전스와 결합해 공격자만 알고 있던 SQLite 제로데이(CVE-2025-6965)를 실제 악용이 벌어지기 전에 막아냈다. The Hacker News는 이를 AI 에이전트가 실전 공격을 사전에 저지한 첫 사례로 소개했다. 공격 쪽만 AI로 무장한 게 아니라는 얘기다. 취약점을 찾아내는 속도 자체가 사람 손을 떠나고 있고, 발견이 빨라지면 공개와 악용 시도까지 줄줄이 당겨진다. 애플이 배포 주기를 버린 건 이 연쇄를 조금이라도 끊어보려는 시도로 읽힌다.

남는 질문은 왜 하필 지금, 애플이 먼저 움직였느냐는 것이다. 애플은 자사 취약점 신고 프로그램에 외부 보안 연구자와 AI 기반 리서치 도구의 제보가 섞여 들어오는 걸 이미 겪고 있을 가능성이 크다. 애플 보안 업데이트 목록을 보면 최근 릴리스일수록 패치 주기가 촘촘해지는 게 눈에 띈다. 제보 유입 속도 자체가 달라졌다는 신호로 읽힌다.

패치 내용을 뜯어보면 이번 조기 배포가 엄살은 아니었다. ZDI 리뷰에 따르면 커널 메모리에 값을 쓸 수 있는 취약점(CVE-2026-43724)처럼 기기 장악으로 이어질 수 있는 버그가 들어 있었고, 웹사이트가 샌드박스 바깥에서 콘텐츠를 처리하게 만드는 WebKit 이탈 버그도 있었다. 다만 WebKit 수정의 상당수는 원격 코드 실행이 아니라 크래시 수준이라, 37이라는 숫자 자체에 겁먹을 일은 아니다.

원래 이 수정들을 품고 나왔어야 할 iOS 26.6은 7월 말 배포가 유력하다. 그때도 애플이 보안 수정을 따로 떼어 먼저 내놓는다면, 이번 조기 배포는 일회성 대응이 아니라 새 기조였다는 뜻이 된다.

그래서 사용자가 바꿔야 할 건 딱 하나다

이 흐름에서 일반 사용자가 챙길 습관은 복잡하지 않다. 자동 업데이트를 켜두고, 업데이트 알림을 미루지 않는 것. 예전에는 "새 기능 없는 마이너 업데이트는 나중에 몰아서 해도 된다"는 판단이 크게 틀리지 않았다. 그런데 지금은 그 마이너 업데이트가 바로 이번처럼 조기 배포된 보안 패치일 가능성이 높아졌고, 미루는 시간만큼 노출 창이 그대로 열려 있게 된다. 나도 예전엔 아이폰 업데이트 알림을 며칠씩 밀어두는 버릇이 있었는데, 블로그 사진·글 백업을 클라우드에 걸어두고부터는 그 며칠이 신경 쓰여서 지금은 알림 뜨면 그날 안에 끝내는 쪽으로 바꿨다.

겉보기엔 유난 같아도 이번 변화는 공격과 방어 양쪽 속도가 같이 빨라진 상황에 애플이 보조를 맞춘 것에 가깝다. 개인이 이 속도 경쟁에 낄 자리는 없지만, 업데이트를 미루지 않는 것 정도는 손 안의 일이다. 나부터 이번 주말에 자동 업데이트 꺼진 기기가 없나 한 바퀴 돌아볼 생각이다.

맛있는 김밥 먹고 싶다.