폰투온 둘째 날, 하루에 제로데이 15건이 풀렸다

단 하루만에.
윈도우11,
MS 익스체인지,
레드햇 리눅스,
엔비디아 컨테이너,
AI 코딩 에이전트.
줄줄이 뚫렸다.
베를린에서 진행 중인
폰투온(Pwn2Own, 글로벌 해킹 경연) 2026 둘째 날 현장이다.

공개된 사실.
- 신규 제로데이(공개 전 결함) 15건이 한 자리에서 풀렸다
- 둘째 날 상금 총액 38만 5,750달러 (약 5.3억 원)
- 한국 연구팀 '아웃 오브 바운스(Out Of Bounds)'가 종합 2위에 올랐다
- AI 코딩 에이전트도 공격 대상에 포함됐다

폰투온이 뭔지부터.
매년 두 차례 열리는 세계 최대 해킹 경연이다.
참가자는 미공개 결함을 가져와서 현장에서 시연으로 증명한다.
성공하면 상금을 받고,
결함은 곧바로 제조사에 비공개로 전달된다.
"실력 검증 + 보안 강화"가 한 번에 일어나는 구조다.
보안업계에서는 생성형 AI가 취약점 발굴 속도를 급격히 끌어올리면서 기존 제로데이 시장 구조 자체가 변하고 있다는 분석이 나온다.

주목할 변화 두 가지.
- 첫째, AI 코딩 에이전트가 공격 대상으로 등장했다. 코드를 짜주는 도구가 보안 카테고리로 들어왔다는 뜻이다.
- 둘째, 신규 제로데이 15건이 둘째 날 하루에 풀렸다. 발굴 속도 자체가 빨라지고 있다.
한국팀이 종합 2위에 든 것도 작지 않다.
영어권 팀이 압도적이던 무대에서
한국 보안 인력의 기술 깊이가 글로벌 상위권에 있다는 증거다.

보안 실무 관점에서 의미는 분명하다.
- 윈도우11, 익스체인지 등 메인스트림 제품은 곧 패치가 나온다.
사내 패치 일정을 미리 점검.
- AI 코딩 에이전트를 도입한 팀은
"취약점 발굴 대상으로의 진입"을 인식하고 들어가야 한다.
- 한국 연구팀 활약은 채용 시그널이다.
보안 인력 확보가 어려운 시장에서
글로벌 검증된 인재 풀이 한국에 있다는 뜻.

업계 분석대로 AI가 취약점 발굴 속도를 바꾸고 있다면
보안 산업의 한 축이 흔들린다.
지금까지 zero-day 발굴은 소수 보안 연구자의 직관과 끈기에 의존했다. AI가 그 작업을 자동화하면 발굴 빈도는 올라가지만 공격자 측에서도 같은 도구를 쓴다.
방어와 공격의 비대칭이 새 균형을 찾을 때까지,
패치 주기는 더 짧아지고 압박은 더 강해질 가능성이 있다.