자체 등급 숫자 읽는 법 — 그 "치명"은 누가 매겼나 (2026)

2026-10-20

결론부터 말하면, 등급이 붙은 숫자를 보면 “누가 그 등급을 매겼나”부터 확인해야 한다.

발표한 쪽이 스스로 매긴 등급은 출발점이지 결론이 아니다.

같은 77건이라도, 외부에서 확인된 77건과 스스로 평가한 77건은 무게가 다르다.

뉴스가 섹터 흐름에 어떻게 번지는지 함께 보고 싶다면 Passive 앱의 섹터 히트맵 화면(https://dinsightlab.com)에서 시작할 수 있다.

사례: 첫 스캔 치명 77건, 높음 803건

앤트로픽은 2026년 10월 8일, 오픈소스 프로젝트를 무료로 검사해 주는 OSS 스캐너를 내놨다.

10월 19일에는 첫 스캔들이 유지관리자에게 치명 77건, 높음 803건을 보고했다고 밝혔다.

합치면 880건이다.

그런데 발표 문구를 자세히 보면 “모델 평가 기준”이라는 단서가 붙어 있다.

이 등급은 사람이 아니라 AI 모델이 매긴 것이고, 보고서는 사람의 검토 없이 바로 유지관리자에게 간다.

앤트로픽은 이와 별도로, 사람이 검토한 뒤 보내는 보고서를 6,000건 넘게 처리해 왔다고 설명한다.

같은 회사 안에서도 “모델이 매긴 숫자”와 “사람이 확인한 숫자”를 나눠서 말하고 있는 셈이다.

등급이 붙은 숫자는 보통 다음 단계를 거친다.

보도에 나온 숫자가 이 중 어느 단계의 숫자인지 확인하는 것이 첫 번째 일이다.

치명 77건은 2단계 숫자다.

다음 단계로 넘어가면서 숫자가 얼마나 줄어드는지 보여 주는 사례가 있다.

보도에 따르면 암호화 라이브러리 업체 wolfSSL은 초기 시험에서 74건의 보고를 받았고, 그중 2건을 뺀 72건이 유효했다고 밝혔다.

72 ÷ 74 ≈ 97%로, 3단계 통과율이 꽤 높다.

그런데 4단계, 공식 취약점 번호(CVE)가 된 건 5건이었다.

5 ÷ 74 ≈ 7%다.

유효한 문제라도 중복이거나, 심각도가 낮거나, 공식 번호를 붙일 만큼은 아니었다는 뜻이다.

같은 숫자가 단계를 지나며 74 → 72 → 5로 바뀐다.

어느 단계의 숫자를 인용하느냐에 따라 기사 제목의 크기가 열 배 넘게 달라질 수 있다.

기업 발표에서도 같은 구조가 자주 나온다.

“수주 잔고”, “파이프라인”, “고객 관심” 같은 숫자는 대개 회사가 스스로 집계한 2단계 숫자다.

매출로 인식되거나 공시로 확정된 숫자가 4단계다.

2단계 숫자가 크다고 해서 틀린 건 아니다.

다만 4단계로 넘어가는 비율을 모르면, 그 숫자가 실제로 얼마의 가치로 이어질지 가늠하기 어렵다.

그래서 자체 등급 숫자를 볼 때는 세 가지를 같이 묻는 편이 좋다.

치명 77건은 의미 있는 숫자다.

AI가 짧은 시간에 그만큼을 찾아냈다는 것만으로도 보안 일의 방식이 바뀌고 있다는 신호다.

다만 그 숫자가 “모델이 매긴 등급”이라는 점을 함께 읽어야 한다.

등급을 누가 매겼는지, 그리고 다음 단계로 몇 %나 넘어가는지가 숫자의 실제 무게를 정한다.

기업 실적처럼 확정된 숫자와 회사가 내놓은 전망을 나눠 보고 싶다면, Passive 앱(https://dinsightlab.com)의 실적 화면에서 분기별 실제 수치를 확인할 수 있다.

이 글은 투자 권유가 아니며, 숫자는 2026년 10월 19일 공개 자료 기준이다.