보도자료가 실험실 조건을 명시한 이유

발표문에 따르면 이번 수치는 통제된 환경에서 ARTEX와 CyberStrikeAI라는 취약점 탐색 도구를 직접 구동한 실증 분석 결과입니다. 실제 금융권 침해사고에서 포집된 트래픽이 아니라는 점을 회사 스스로 문서에 명시했습니다. 실험 결과를 실제 해킹에서 발생한 공격량으로 읽으면 과장이 됩니다.

하나의 주체가 측정한 수치의 한계

이 수치의 측정 주체는 티오리 한 곳뿐이며, KISA나 금융위 같은 감독기관 또는 제3자의 독립 검증은 아직 확인되지 않았습니다. 국내 언론 4곳 이상이 이 수치를 보도했지만, 뉴시스와 ZDNet Korea 등 보도 문구가 동일해 하나의 배포 보도자료를 전달한 것에 그칩니다. 수치의 신뢰를 높이려면 별도 주체의 재현 측정이 필요합니다.

GitHub 기술문서가 남긴 변수

GitHub에 공개된 기술문서에 따르면 burst 크기는 도구 조합과 모델 선택에 따라 달라진다고 전했습니다. 원문 표기도 '3만 2천여 건'이라는 근사치여서, 같은 조건에서 실험을 다시 돌리면 수치가 그대로 재현되지 않을 수 있습니다. 더욱이 ARTEX 원 저장소는 이미 삭제된 상태라 원본 코드 기준의 공개 검증은 현재 불가능하며, 미러 저장소만 남아 있습니다.

향후 확인 지점

독립적 재현 실험과 실제 침해사고 트래픽과의 비교가 이뤄진다면 이 수치의 의미가 더 분명해질 것입니다. 구조 전환인지 단발적 실험 결과인지는 몇 차례의 관측이 더 필요하지만, 발표 수치와 조건의 전달 자체는 대체로 사실입니다.