보안 패치가 발표되면 방어자들은 권고문(Advisory)과 패치 노트를 기준으로 대응 우선순위를 정합니다. 그러나 실제 패치에는 권고문에 기술되지 않은 보안 수정, 즉 CVE조차 부여되지 않은 채 조용히 적용되는 '스텔스 패치(섀도 패치)'가 적지 않게 포함되어 있습니다. 패치 노트만으로는 보안 영향도를 판단할 수 없고, 이를 확인하려면 패치 전후 바이너리를 비교 분석하는 패치 디핑(Patch Diffing)이 필요하지만, 이는 IDA·BinDiff·Ghidra 같은 도구를 다루는 숙련된 분석가가 CVE 하나에 며칠씩 매달려야 하는 작업이었습니다.
문제는 공격자들도 똑같은 분석을 한다는 점입니다. 공개된 패치 커밋과 업데이트된 바이너리를 인간 및 AI 기반 디핑 기술로 분석해, 권고문에 없는 수정 사항을 역공학하고 N-day 변종 공격을 만들어내는 일은 위협 행위자에게 충분히 가능한 영역입니다. 방어자가 패치 노트를 읽는 동안, 공격자는 패치 그 자체를 읽고 있습니다.
"PatchHawk는 이 작업을 자동화하는 AI 기반 보안 패치 분석 시스템입니다."
저희 78리서치랩이 개발 중인 PatchHawk(Security Patch Analyzer)는 보안 패치 정보 수집부터 PoC(개념 증명) 생성까지를 하나의 파이프라인으로 처리합니다. GitHub 릴리스, Windows 업데이트 등 다중 소스에서 패치를 수집하고, 패치 전후 바이너리·소스를 함수 단위로 디핑해 변경점을 추출합니다. 이어 AI가 해당 변경이 보안 취약점 패치인지 판별하고 취약점 유형(CWE)을 분류한 뒤, 메타데이터·diff·취약점 DB·웹 정보를 교차 대조해 CVE와 매칭합니다. 이때 보안 패치임에도 매칭되는 CVE가 없는 변경은 'Shadow Patch'로 별도 라벨링하여, 공개 CVE와 동등한 중요도로 추적합니다. 마지막으로 Directed Fuzzing과 LLM 기반 변이를 결합해 취약 코드 영역에 도달하는 PoC를 자동 생성합니다. 연구원이 CVE 하나에 며칠을 쓰던 분석·PoC 개발 과정이 하루 내외로 단축됩니다.
"왜 'PatchHawk'인가요?"
이름은 매(Hawk)에서 왔습니다. 매는 수백 미터 상공을 선회하면서도 풀숲의 미세한 움직임을 놓치지 않는 시력을 가졌고, 목표를 포착하면 누구보다 빠르게 내리꽂힙니다. 저희가 만들고 싶었던 시스템이 정확히 그랬습니다. 매일 쏟아지는 수많은 패치 위를 쉬지 않고 선회하다가, 권고문 어디에도 적히지 않은 작은 코드 변경 — 스텔스 패치의 흔적 — 을 포착하면 즉시 내려가 분석하고 PoC까지 물어오는 사냥꾼. 그래서 '패치를 감시하는 매', PatchHawk입니다. 78리서치랩의 다른 모듈들이 그렇듯, 사람이 쉬는 시간에도 PatchHawk의 눈은 패치 위에 떠 있습니다.
"PurpleHound와는 이렇게 연결됩니다."
PatchHawk가 생성한 취약점 분석 결과와 PoC 데이터는 78리서치랩의 침해 및 공격 시뮬레이션(BAS) 솔루션 '퍼플하운드(PurpleHound)'의 공격 콘텐츠 자동 생성 인프라로 연동됩니다. 공개 정보보다 한발 앞서 식별한 패치 기반 위협이 곧바로 고객 인프라 검증용 시나리오로 이어지는 구조입니다. 공격자가 패치를 역공학해 무기를 만들기 전에, 방어자가 같은 위협으로 자신의 인프라를 먼저 점검할 수 있도록 하는 것이 이 연계의 목표입니다.
"매주 목요일 오전 11시, 그리고 수시 브리핑"
저희는 PatchHawk가 식별한 보안 패치 가운데 인프라 방어자분들이 신속하게 대응해야 할 고가치 위협 정보를 엄선해, 트위터(X) 계정 @patchhawk_ ( https://x.com/patchhawk_ ) 을 통해 매주 목요일 오전 11시에 정기 브리핑하고 있습니다. 주요 벤더 패치의 실제 보안 영향도, CVE가 부여되지 않은 스텔스 패치 식별 내역, 우선 대응이 필요한 변경점 등이 주요 내용입니다. 아울러 시급한 조치가 필요하다고 판단되는 긴급 사안은 정기 일정과 별개로 비정기 수시 브리핑을 통해 신속히 공유합니다.
사이버 보안에서는 적이 나보다 한 수 위라는 전제로 접근해야 빈틈이 생기지 않습니다. 내가 할 수 있는 분석은 공격자도 할 수 있고, 내가 못 하는 영역도 공격자는 해낼 수 있다고 가정해야 합니다. PatchHawk는 그 전제 위에서, 공격자의 속도로 패치를 분석하고 방어자의 편에서 결과를 공유하기 위해 만들어졌습니다.
"패치 노트에 적힌 것만 고치면 안전할까요?"
보안 패치가 발표되면 방어자들은 권고문(Advisory)과 패치 노트를 기준으로 대응 우선순위를 정합니다. 그러나 실제 패치에는 권고문에 기술되지 않은 보안 수정, 즉 CVE조차 부여되지 않은 채 조용히 적용되는 '스텔스 패치(섀도 패치)'가 적지 않게 포함되어 있습니다. 패치 노트만으로는 보안 영향도를 판단할 수 없고, 이를 확인하려면 패치 전후 바이너리를 비교 분석하는 패치 디핑(Patch Diffing)이 필요하지만, 이는 IDA·BinDiff·Ghidra 같은 도구를 다루는 숙련된 분석가가 CVE 하나에 며칠씩 매달려야 하는 작업이었습니다.
문제는 공격자들도 똑같은 분석을 한다는 점입니다. 공개된 패치 커밋과 업데이트된 바이너리를 인간 및 AI 기반 디핑 기술로 분석해, 권고문에 없는 수정 사항을 역공학하고 N-day 변종 공격을 만들어내는 일은 위협 행위자에게 충분히 가능한 영역입니다. 방어자가 패치 노트를 읽는 동안, 공격자는 패치 그 자체를 읽고 있습니다.
"PatchHawk는 이 작업을 자동화하는 AI 기반 보안 패치 분석 시스템입니다."
저희 78리서치랩이 개발 중인 PatchHawk(Security Patch Analyzer)는 보안 패치 정보 수집부터 PoC(개념 증명) 생성까지를 하나의 파이프라인으로 처리합니다. GitHub 릴리스, Windows 업데이트 등 다중 소스에서 패치를 수집하고, 패치 전후 바이너리·소스를 함수 단위로 디핑해 변경점을 추출합니다. 이어 AI가 해당 변경이 보안 취약점 패치인지 판별하고 취약점 유형(CWE)을 분류한 뒤, 메타데이터·diff·취약점 DB·웹 정보를 교차 대조해 CVE와 매칭합니다. 이때 보안 패치임에도 매칭되는 CVE가 없는 변경은 'Shadow Patch'로 별도 라벨링하여, 공개 CVE와 동등한 중요도로 추적합니다. 마지막으로 Directed Fuzzing과 LLM 기반 변이를 결합해 취약 코드 영역에 도달하는 PoC를 자동 생성합니다. 연구원이 CVE 하나에 며칠을 쓰던 분석·PoC 개발 과정이 하루 내외로 단축됩니다.
"왜 'PatchHawk'인가요?"
이름은 매(Hawk)에서 왔습니다. 매는 수백 미터 상공을 선회하면서도 풀숲의 미세한 움직임을 놓치지 않는 시력을 가졌고, 목표를 포착하면 누구보다 빠르게 내리꽂힙니다. 저희가 만들고 싶었던 시스템이 정확히 그랬습니다. 매일 쏟아지는 수많은 패치 위를 쉬지 않고 선회하다가, 권고문 어디에도 적히지 않은 작은 코드 변경 — 스텔스 패치의 흔적 — 을 포착하면 즉시 내려가 분석하고 PoC까지 물어오는 사냥꾼. 그래서 '패치를 감시하는 매', PatchHawk입니다. 78리서치랩의 다른 모듈들이 그렇듯, 사람이 쉬는 시간에도 PatchHawk의 눈은 패치 위에 떠 있습니다.
"PurpleHound와는 이렇게 연결됩니다."
PatchHawk가 생성한 취약점 분석 결과와 PoC 데이터는 78리서치랩의 침해 및 공격 시뮬레이션(BAS) 솔루션 '퍼플하운드(PurpleHound)'의 공격 콘텐츠 자동 생성 인프라로 연동됩니다. 공개 정보보다 한발 앞서 식별한 패치 기반 위협이 곧바로 고객 인프라 검증용 시나리오로 이어지는 구조입니다. 공격자가 패치를 역공학해 무기를 만들기 전에, 방어자가 같은 위협으로 자신의 인프라를 먼저 점검할 수 있도록 하는 것이 이 연계의 목표입니다.
"매주 목요일 오전 11시, 그리고 수시 브리핑"
저희는 PatchHawk가 식별한 보안 패치 가운데 인프라 방어자분들이 신속하게 대응해야 할 고가치 위협 정보를 엄선해, 트위터(X) 계정 @patchhawk_ ( https://x.com/patchhawk_ ) 을 통해 매주 목요일 오전 11시에 정기 브리핑하고 있습니다. 주요 벤더 패치의 실제 보안 영향도, CVE가 부여되지 않은 스텔스 패치 식별 내역, 우선 대응이 필요한 변경점 등이 주요 내용입니다. 아울러 시급한 조치가 필요하다고 판단되는 긴급 사안은 정기 일정과 별개로 비정기 수시 브리핑을 통해 신속히 공유합니다.
사이버 보안에서는 적이 나보다 한 수 위라는 전제로 접근해야 빈틈이 생기지 않습니다. 내가 할 수 있는 분석은 공격자도 할 수 있고, 내가 못 하는 영역도 공격자는 해낼 수 있다고 가정해야 합니다. PatchHawk는 그 전제 위에서, 공격자의 속도로 패치를 분석하고 방어자의 편에서 결과를 공유하기 위해 만들어졌습니다.
매주 목요일 오전 11시, 패치 뒤에 숨은 위협을 가장 먼저 확인하세요.
감사합니다!