보안 업계에는 오랫동안 암묵의 전제가 하나 있었다.취약점이 공개되어 공격자가 실제로 악용하기까지는 며칠에서 몇 주간의 여유(유예)가 있다——벤더가 패치를 내고, 운영팀이 유지보수 윈도우를 잡을 시간이 반드시 있다는 믿음이었다. Radware가 방금 발표한 2026년 상반기 글로벌 위협 분석 보고서는 이 전제에 정면으로 선을 그었다.
보고서에서 가장 눈길을 끄는 숫자는 공격의 시간축이다. 2024년 평균은 공개 후 53일에 최초 실전 공격, 2025년에는 21.5일로 짧아졌고, 2026년 상반기에는 드디어 제로를 깨고 마이너스가 되었다——공격은 평균적으로 공식 CVE 공지 이전에 이미 벌어지고 있었다. 즉, 악용된 취약점의 80% 이상이 「제로데이」라는 뜻이다. 5개 중 4개 이상은, 뉴스가 보도될 무렵에는 공격이 이미 끝난 상태다.
전통적인 표준 절차는 "CVE 공지 모니터링 → 영향 평가 → 공격 전에 패치 적용"이었다. 그런데 이 흐름의 출발점 자체가 더 이상 성립하지 않는다. 패치는 더 이상 방어가 아니라, 사후 검증에 불과하다. 진정으로 공격을 견뎌야 하는 곳은, 패치가 존재하기 전의 그 시간대다.
같은 보고서의 또 다른 측면은 규모다. 2026년 상반기 웹 DDoS 공격은 전년 동기 대비 110.6% 급증했고, 상반기만의 완화량이 이미 2025년 연간 총량의 83%에 육박했다. 하반기가 같은 속도를 유지하면 연간 증가율은 166%에 달할 전망이다. 지역별로는 북미가 2026년 가장 빠른 성장(약 +190%)이 예상되며, EMEA는 약 +60%, APAC는 약 +27%다.
「1사당 하루 110회, 509회」라는 숫자의 크기에 주목할 것. 대부분의 기업에게 DDoS는 더 이상 「일으킬 것인가 여부」의 문제가 아니라, 매일 상시적으로 일어나며, 문제는 버틸 수 있는가의 질문으로 바뀌었다.
보고서에는 보안 팀을 불편하게 하는 조사 데이터도 있다. 기업의 77%가 AI 에이전트 도입을 진행 중인데, 자사 환경에서 동작하는 에이전트에 대한 완전한 가시성을 가진 곳은 17.2%뿐. 기업 70% 이상이 내부 API 이용을 늘렸고, 81.2%가 매주 프로덕션 API를 업데이트하지만, API를 완전히 문서화한 곳은 6.9%에 불과하다. 공격 표면은 빠르게 팽창하는 동안, 수비 측은 자사 자산 가계조차 마치지 못한 상태다.
또 한쪽에서는 악성 봇 트래픽도 고공 행진——2026년 상반기가 이미 2025년 연간 트래픽의 60%에 근접, 북미가 50.1%를 차지. 이런 크롤러·자동화 트래픽은 단순히 보안 문제가 아니라, 소비하는 CDN 대역폭과 운영 비용은 실제 지출이다(이는 AI 봇 트래픽, Cloudflare의 AI 크롤러 기본값 변경을 다룬 최근 기사와 같은 맥락)。
세 가지 사실을 겹쳐 보면 결론은 하나다. 공개부터 공격까지의 시간이 음수, 앱당 하루 14,000건 이상의 악성 트랜잭션, 잠을 자지 않는 공격자. 「사람이 경보를 확인하고 나서 대응하는」 속도의 방어는, 이미 공격자보다 한 세대 늦었다. 탐지, 차단, 검증은 기계 속도로, 그것도 공격이 도달한 같은 초에 끝나야 한다.
구체적으로는 세 가지. 첫째, 엣지에서의 자동 WAF와 DDoS 스크러빙——로그 확인을 기다리지 말고, 이상 트래픽이 오리진에 도달하기 전에 저지한다. 둘째, 지속적 이상 탐지——API와 관리 화면에 행동 베이스라인을 설정하고, 14,000건의 악성 트랜잭션 속에 섞인 진짜 취약점 악용을 초 단위로 잡아낸다. 셋째, MTTR을 분 단위로——패치가 나오는 시점은 통제할 수 없지만, 차단·봉쇄·검증의 속도는 통제할 수 있다. AIOps가 「가점 항목」에서 「합격선」으로 이동한 이유가 바로 이것이다.
취약점의 80%가 공개 전에 악용된다면, 「패치를 기다리는」 전략은 올해 공식적으로 유효기간이 끝났다. Lafa System의 답은 단순하다. 탐지·차단·검증을 전부 자동화하여, 공격이 도달한 같은 초에 방어가 반응하게 한다——상대는 이미 누구도 기다리지 않으니까.