Arista 보안 권고가 드러낸 AI 네트워킹의 커져가는 보수 비용

Arista는 9월 9일 최대 10.0 CVSS 점수를 받은 치명적 취약점을 포함해 수십 건의 보안 권고를 발표했다. Arista 보안 권고는 AI 및 클라우드 인프라 수요 확대에 힘입어 회사가 기록적인 매출을 보고한 시점에 나왔다. 이 충돌은 네트워킹 업계에 불편한 메시지를 던진다. 성장은 더 많은 소프트웨어, 인터페이스, 구성, 그리고 복구 작업을 수반한다.

이 공개 자료가 Arista 네트워크가 광범위하게 침해됐음을 보여주는 것은 아니다. Arista는 주목받은 취약점을 내부적으로 발견했으며 고객 환경에서 악의적 악용 사례는 확인하지 못했다고 밝혔다. 또한 일부 심각한 결함은 공격자가 활용하기 전에 특정 서비스, 자격 증명 또는 구성을 요구한다.

그럼에도 시점은 중요하다. Arista와 Cisco는 AI 클러스터, 클라우드 운영자, 캠퍼스, 엔터프라이즈 데이터센터를 위한 점점 더 프로그래밍 가능한 인프라를 판매하고 있다. 고객은 더 높은 대역폭과 향상된 자동화를 원하지만, 모든 관리 인터페이스와 제어 프로토콜은 또 하나의 보안 경계를 만든다.

Cisco의 최신 실적은 이 기회의 규모를 보여준다. 이 회사는 네트워킹 주문이 급증했고 하이퍼스케일러 AI 인프라에 대한 전망을 상향했다고 보고했다. 한편 Arista는 처음으로 매출 30억 달러를 넘긴 분기를 기록했다.

따라서 진정한 경쟁은 단순히 스위칭 성능 측면의 Arista 대 Cisco 구도가 아니다. 이는 자동화된 AI 네트워킹이라는 업계의 약속과 해당 인프라를 안전하게 유지하는 운영 부담 간의 경쟁이다. 구매자는 이제 배포 이후 공급업체가 결함을 얼마나 효과적으로 발견하고, 알리며, 해결하는지 판단해야 한다.

Arista 보안 권고가 실제로 공개한 내용

이번 공개 자료는 단일 소프트웨어 버그가 아니라 완전한 장치 장악, 권한 부여 실패, 자격 증명 노출, 라우팅 중단을 아우른다.

Arista는 9월 2일 사전 공지를 발행한 뒤 9월 9일 주요 권고 모음을 공개했다. 회사는 이례적으로 많은 공개가 취약점 탐지 프로세스 개선을 반영한 것이라고 밝혔다. 권고 요약은 다양한 네트워크 기능 전반의 Arista EOS 및 VeloCloud 제품을 다룬다.

가장 심각한 공개 항목은 CVE-2026-73453이다. 이는 패킷 처리 동작을 프로그래밍하는 데 사용되는 관리 프로토콜인 P4Runtime으로 구성된 EOS 스위치에 영향을 미친다. Arista는 이 결함에 CVSS 3.1 기준 10.0점, CVSS 4.0 기준 9.5점을 부여했다.

보도에 따르면 인증되지 않은 P4Runtime 클라이언트는 요구 조건이 충족될 경우 임의 코드를 실행할 수 있다. 세션이 시작되는 동안 전송된 악성 패킷은 공격자에게 스위치에 대한 완전한 관리 제어 권한을 줄 수 있다. 다만 Arista는 P4Runtime이 기본적으로 비활성화돼 있음을 강조한다.

이 조건은 실제 위험도를 크게 바꾼다. 최고 심각도 점수는 취약한 조건에서의 잠재적 영향을 설명하는 것이지 노출된 장치 수를 뜻하지는 않는다. 운영자는 여전히 P4Runtime이 활성화돼 있는지, 접근 가능한지, 영향을 받는 EOS 릴리스에서 실행 중인지 확인해야 한다.

별도의 P4Runtime 권고는 Arista가 이 문제를 내부적으로 발견했다고 밝힌다. 회사는 또한 고객 네트워크에서 악의적 악용 사례를 알지 못한다고 말한다. 이러한 설명은 즉각적인 경각심을 줄일 수 있지만, 자산 목록화와 완화 조치의 필요성을 없애지는 않는다.

또 다른 결함인 CVE-2026-73464는 gRPC Network Management Interface, 즉 gNMI가 활성화된 스위치에 영향을 준다. gNMI 접근 권한을 가진 악의적인 인증 클라이언트는 루트 권한으로 코드를 실행할 수 있다. Arista는 이 취약점에 CVSS 3.1 기준 8.8점을 부여했다.

다른 권고는 잘못된 권한 할당, 권한 부여 우회, 쓰기 가능해진 제한된 구성 경로, 로그에 나타나는 자격 증명을 설명한다. 이러한 문제는 프로그래밍 가능한 관리 서비스 주변에 집중돼 있다. 자동화가 바로 이 서비스들에 의존하기 때문에 이 패턴은 중요하다.

이번 공개에는 전통적인 제어 플레인 프로토콜의 약점도 포함된다. 권고 세트 전반에 OSPF, IS-IS, DHCP 릴레이, BFD, VRRP, IGMP 스누핑, 멀티캐스트 처리가 등장한다. 악용 시 패킷 손실, 인접성 중단, 라우팅 프로세스 실패 또는 서비스 거부가 발생할 수 있다.

예를 들어 OSPFv2 공개 자료의 두 취약점은 인접성 플래핑을 유발하거나 OSPF 프로세스를 재시작할 수 있다. OSPF는 네트워크 장치가 도달 가능성 정보를 교환하도록 돕는 라우팅 프로토콜이다. 따라서 장애는 하나의 인터페이스를 넘어 확산될 수 있다.

Arista는 이 OSPF 결함 역시 내부적으로 발견했으며 알려진 악의적 사용 사례는 없다고 말한다. 하지만 운영자가 이 설명을 보편적인 이상 없음 신호로 해석할 수는 없다. 노출 여부는 소프트웨어 릴리스, 프로토콜 구성, 네트워크 인접성, 공격자의 위치에 따라 달라진다.

당면한 과제는 구체적이다. 팀은 배포된 버전을 적용 가능한 모든 권고와 비교하고, 필요한 구성을 식별하며, 필요 시 수정된 릴리스를 설치해야 한다. 라우팅 인프라는 가벼운 중단도 허용할 수 없는 워크로드를 흔히 운반하므로 변경 사항도 신중히 테스트해야 한다.

AI 네트워크 성장은 보안 업무를 증폭시킨다

AI 네트워크 성장은 안정적인 스위칭의 가치를 높이는 동시에 운영자가 지속적으로 점검해야 할 소프트웨어 표면을 확장한다.

AI 클러스터는 고속 네트워크 패브릭을 통해 수천 개의 가속기를 연결한다. 패브릭은 서버, 스토리지 시스템 및 지원 서비스를 오가는 데이터를 이동시키는 상호 연결된 스위칭 계층이다. 학습 성능은 이 계층 전반의 예측 가능한 지연 시간, 처리량, 가용성에 달려 있다.

현대적 패브릭은 정적인 포트 집합이 아니다. 운영자는 API, 텔레메트리 시스템, 자동화 도구, 라우팅 프로토콜, 프로그래밍 가능한 인터페이스를 통해 이를 관리한다. 이러한 기능은 대규모 환경의 효율적 운영을 돕지만, 권한이 있는 네트워크 기능으로 향하는 경로도 더 많이 만든다.

Arista의 치명적 취약점은 이 설계의 양면을 보여준다. P4Runtime은 소프트웨어가 패킷 처리 동작을 제어하도록 하고, gNMI는 구성 및 텔레메트리 워크플로를 지원한다. 이러한 인터페이스는 자동화를 가능하게 하지만, 내부 결함은 비정상적으로 큰 영향을 초래할 수 있다.

그렇다고 프로그래밍 가능성 자체가 잘못이라는 의미는 아니다. 수시로 변화하는 AI 인프라 전반에서는 수동 관리가 확장될 수 없다. 문제는 프로그래밍 가능성이 운영 위험을 자격 증명, 권한 부여 규칙, 서비스 노출, 입력 검증, 소프트웨어 수명주기 관리 쪽으로 옮긴다는 점이다.

AI 배포 환경은 활용률이 중요하기 때문에 이러한 압박을 강화한다. 값비싼 가속기는 네트워크 세그먼트를 사용할 수 없거나 불안정할 때 유의미한 작업을 수행하지 못한다. 일반 네트워크에서는 짧아 보이는 라우팅 재시작도 분산 작업을 중단시키고 클러스터 전반의 복구를 복잡하게 만들 수 있다.

일부 학습 시스템은 진행 상황을 체크포인트로 저장하며, 이는 주기적으로 복구 가능한 상태를 저장한다는 뜻이다. 그럼에도 패브릭 중단은 컴퓨팅 시간을 낭비하고 공유 워크로드를 지연시킬 수 있다. 추론 환경에서는 네트워크 장애가 고객 대면 애플리케이션의 지연 시간이나 서비스 가용성에 영향을 줄 수 있다.

복구 부담은 가시성에서 시작된다. 기업은 어떤 스위치를 운영하는지, EOS 버전은 무엇인지, 어떤 서비스가 활성화됐는지, 각 취약점을 악용 가능하게 만드는 구성이 무엇인지 알아야 한다. 불완전한 자산 목록은 범위가 한정된 권고를 끝이 없는 조사로 바꾼다.

다음은 우선순위 설정이다. 10.0점은 주의를 요구하지만, 비활성화된 서비스는 광범위하게 활성화된 프로토콜의 더 낮은 점수 취약점보다 즉각적인 노출이 적을 수 있다. 보안팀은 심각도를 도달 가능성, 권한, 토폴로지, 워크로드 중요도와 결합해야 한다.

완화 조치 자체에도 위험이 따른다. 네트워크 운영 체제 업그레이드에는 호환성 점검, 유지보수 계획, 롤백 절차, 변경 후 검증이 필요하다. 성급한 패치는 자체적인 장애를 만들 수 있으며, 지연된 패치는 노출 기간을 늘린다.

이는 여러 팀에 걸친 업무를 만든다. 보안 담당자는 취약점을 해석하고, 네트워크 엔지니어는 구성을 확인하며, 플랫폼 팀은 AI 워크로드 의존성을 평가하고, 변경 관리자는 배포 일정을 잡는다. 경영진은 운영 중단이 지속적인 노출보다 언제 더 안전한지 결정해야 한다.

기업은 권고 결정, 장치 증거, 테스트 결과를 검색 가능한 지식 베이스에 보존함으로써 이러한 마찰을 줄일 수 있다. 이 기록은 이후 공개 자료에서 유사한 프로토콜이나 소프트웨어 계열이 등장할 때 가치가 있다.

최신 권고 묶음은 익숙한 구매 가정에도 도전한다. 구매자는 흔히 대역폭, 포트 밀도, 전력, 지연 시간, 가격을 기준으로 AI 네트워킹을 평가한다. 배포된 모든 시스템은 지속적인 유지보수 의무가 되므로, 보안 대응 품질 역시 이에 상응하는 주목을 받아야 한다.

Cisco는 보수 비용 뒤에 있는 기회를 보여준다

Cisco의 주문 증가는 이러한 기능이 더 큰 보안 및 유지보수 의무를 만들어내더라도 공급업체가 AI 네트워킹 역량을 계속 확장하는 이유를 보여준다.

Cisco는 2026 회계연도 4분기에 기록적인 수요를 보고했다. 전체 제품 주문은 전년 대비 35% 증가했고, 네트워킹 제품 주문은 40% 늘었다. 하이퍼스케일러를 제외해도 전체 제품 주문은 25% 성장했다.

회사는 네트워킹 “슈퍼사이클”을 언급하며 8개 분기 연속 두 자릿수 네트워킹 주문 성장을 보고했다. Cisco는 또한 하이퍼스케일 고객의 AI 인프라 수요에 대한 전망을 상향했다. 분기 실적은 네트워킹을 AI 투자의 핵심 수혜자로 제시한다.

회계연도 초 Cisco는 1분기에 하이퍼스케일러 AI 인프라 주문 13억 달러를 보고했다. 이 수요는 Silicon One 시스템과 광학 장비 사이에 균형 있게 분포했다. Cisco는 또한 네오클라우드, 소버린, 엔터프라이즈 고객 전반에서 20억 달러를 넘는 AI 기회 파이프라인을 확인했다.

2분기에는 해당 기간의 하이퍼스케일러 AI 인프라 주문이 21억 달러에 도달했다. Cisco는 2026 회계연도에 이러한 주문이 50억 달러, 관련 매출이 30억 달러 이상에 이를 것으로 예상했다. 이러한 수치는 AI 네트워킹이 미래의 서사에서 보고되는 사업으로 얼마나 빠르게 전환됐는지를 보여준다.

Arista의 성장도 마찬가지로 중요하다. 이 회사는 2026년 2분기 매출 30억 3,600만 달러를 기록해 전년 대비 37.7% 증가했다. 또한 서로 다른 AI 네트워크 아키텍처를 위한 액체 냉각 옵션을 포함해 초당 1.6테라비트 패브릭 플랫폼을 도입했다.

Arista CEO Jayshree Ullal은 네트워킹을 클라이언트, 캠퍼스, 데이터, AI 인프라를 연결하는 “중추 신경계”라고 표현했다. 이 평가는 회사의 2분기 실적에 나온다. 이는 상업적 가치와 운영상의 중요성을 모두 포착한다.

중추 신경계를 일회용 하드웨어처럼 취급할 수는 없다. 고객은 공급업체가 코드를 유지보수하고, 결함을 조사하며, 공개를 조율하고, 수정 릴리스를 제공하며, 제품 수명주기 전반에 걸쳐 업그레이드를 지원하기를 기대한다. 따라서 매출 성장은 지속적인 관리가 필요한 더 큰 설치 기반을 만들어낸다.

Cisco와 Arista는 많은 동일한 클라우드, 데이터센터, 캠퍼스, AI 네트워킹 예산을 두고 경쟁한다. 포트폴리오 범위와 운영 모델은 다르지만, 두 기업 모두 고객이 핵심 경로에 배치하는 인프라를 판매한다. 안정성과 보안 성능은 설치 이후에도 오랫동안 제품의 일부로 남는다.

핵심 경쟁은 한 공급업체는 안전하고 다른 공급업체는 그렇지 않다는 식의 단순한 주장이 아니다. 모든 주요 네트워킹 플랫폼은 취약점에 직면한다. 유용한 비교는 각 공급업체가 이를 얼마나 신속하게 발견하는지, 노출 범위를 얼마나 명확하게 정의하는지, 고객이 얼마나 안전하게 수정 사항을 배포할 수 있는지를 묻는다.

Arista가 대규모의 조율된 일괄 공개를 결정한 것은 회사에 유리한 근거를 제공한다. 내부 발견과 사전 통지는 더욱 체계적인 취약점 프로그램을 시사한다. 또한 회사는 개별 문제에 대한 조건, 영향받는 릴리스, 완화 조치, 수정 버전을 제공했다.

그러나 공개 품질이 복구 비용을 없애지는 못한다. 고객은 여전히 많은 권고문을 한꺼번에 검토해야 한다. 조율된 공개는 계획 수립을 개선할 수 있지만, 상당한 작업을 좁은 운영 기간에 집중시킬 수도 있다.

Cisco의 성장 수치는 이 같은 긴장을 업계 전반에서 드러낸다. AI 인프라 주문이 늘어날수록 스위치, 광학 장비, 컨트롤러, API, 지원 관계도 증가한다. 각 판매는 향후 테스트, 사고 대응, 패치 제공, 고객 조율에 대한 수요를 확대한다.

따라서 AI 네트워킹의 승자는 빠른 하드웨어만으로는 충분하지 않다. 압박 상황에서도 증가하는 장비군을 이해하고 유지 관리할 수 있게 해야 한다. 보안 운영은 경쟁력 있는 제품 성능의 일부가 되고 있다.

공개 급증은 안심되는 동시에 불편하다

더 많은 권고문 수는 더 나은 탐지를 뜻할 수 있지만, 더 나은 탐지가 관리 가능한 복구 프로세스로 이어졌는지 판단하는 비용은 여전히 고객이 부담한다.

Arista는 9월 공개에 앞서 이 같은 긴장을 다뤘다. 회사는 기존 개발 및 취약점 관리 프로세스에 AI 기반 보안 기능을 통합했다고 밝혔다. Anthropic, Google, OpenAI 및 기타 조직과의 협업도 언급했다.

Arista의 보안 프로그램 업데이트에 따르면, 회사는 취약점 발견과 평가를 지원하기 위해 파운데이션 모델을 사용했다. 또한 이러한 개선 이후 더 많은 권고문이 나올 수 있다고 고객에게 경고했다.

이 설명은 그럴듯하다. 더 나은 테스트는 이미 존재했지만 알려지지 않았던 결함을 찾아내는 경우가 많다. 공개된 취약점의 증가는 그 자체로 소프트웨어 품질이 갑자기 악화됐음을 입증하지는 않는다.

내부 발견은 고객에게도 이점이 될 수 있다. 공급업체가 영향받는 구성 분석, 수정 릴리스 준비, 공개 악용 사례가 나타나기 전 커뮤니케이션을 할 시간을 제공하기 때문이다. Arista는 주목된 문제들의 악의적 사용을 관찰하지 못했다고 반복해서 밝히고 있다.

다만 이 설명이 포괄적인 방어 논리가 되어서는 안 된다. AI 지원 탐지는 남은 코드가 안전하다는 점을 독립적으로 증명하지 않는다. 이는 회사가 취약점을 탐색하는 방식을 변경하거나 확장했음을 보여줄 뿐이다.

발견 사항 자체도 면밀히 살펴볼 필요가 있다. 일부는 네트워크 자동화 및 중앙 관리와 관련된 인터페이스에 영향을 미친다. 다른 일부는 장애 발생 시 트래픽을 교란할 수 있는 핵심 프로토콜에 영향을 준다. 이러한 범위는 운영자가 단순히 한 구성 요소를 패치하는 데 그치지 않고 아키텍처를 검토해야 함을 시사한다.

P4Runtime은 가장 명확한 사례다. 이 서비스는 기본적으로 비활성화되어 있어 많은 배포 환경에서 노출을 제한한다. 그러나 프로그래밍 가능한 제어 기능을 활성화할 가능성이 가장 높은 조직에는 고도로 자동화된 인프라를 운영하는 정교한 사업자가 포함될 수 있다.

10.0 점수는 필요한 조건이 충족될 때 심각한 결과가 발생할 수 있음을 반영한다. 인증되지 않은 공격자는 영향을 받는 스위치를 완전히 제어할 수 있는 것으로 알려졌다. 팀은 기본 비활성화를 실제 프로덕션 상태 검증의 대체 수단으로 여겨서는 안 된다.

gNMI 코드 인젝션 취약점은 다른 절충점을 제시한다. 해당 인터페이스에 접근 권한이 있는 인증된 클라이언트가 필요하므로 자격 증명과 네트워크 통제가 중요하다. 그럼에도 성공적인 악용은 root 권한을 제공할 수 있어, 손상된 자동화 자격 증명은 특히 중대한 문제가 된다.

권한 부여 결함은 이러한 우려를 강화한다. 현대 인프라는 자동화된 ID가 읽거나 변경할 수 있는 항목을 제한하는 세분화된 정책에 자주 의존한다. 잘못된 권한 수준을 적용하는 결함은 인증 자체를 우회하지 않고도 통제 모델을 훼손할 수 있다.

자격 증명 로깅 문제는 또 다른 경로를 만든다. 로컬 또는 원격 로그에 기록된 시크릿은 서로 다른 접근 정책과 보존 기간을 가진 시스템으로 전달될 수 있다. 네트워크 장치는 계속 보호되더라도 운영 도구를 통해 자격 증명이 유출될 수 있다.

전통적인 라우팅 결함은 분류 작업을 더욱 복잡하게 만든다. 일부는 인접성 또는 로컬 브로드캐스트 세그먼트 접근을 요구하므로 공용 인터넷으로부터의 노출은 줄어든다. 이미 내부 거점을 확보한 공격자는 여전히 이를 사용해 가용성을 방해하거나 운영상 피해를 확대할 수 있다.

이러한 조건은 대응 방식을 결정해야 하며, 대응을 미루는 이유가 되어서는 안 된다. 운영자는 이론적 적용 가능성과 실제 도달 가능한 위험을 구분하는 구성 인식 평가가 필요하다. 또한 예기치 않은 관리 세션, 권한 불일치, 프로세스 재시작, 비정상적인 컨트롤 플레인 트래픽도 모니터링해야 한다.

인용된 권고문에는 광범위한 악용을 입증하는 공개 증거가 없다. 모든 Arista 환경이 영향을 받는다고 결론지을 근거도 없다. 책임 있는 입장은 이 두 극단 사이에 있다. 노출을 검증하고, 영향이 크고 도달 가능한 경로를 우선순위화하며, 테스트된 수정 사항을 배포해야 한다.

따라서 공개 급증은 Arista가 심각한 결함을 발견하고 문서화했다는 점에서 안심할 만하다. 동시에 개선된 탐지가 핵심 인프라 안에 얼마나 많은 숨은 복잡성이 존재하는지를 드러낸다는 점에서 불편하다. 두 결론은 동시에 사실일 수 있다.

AI 네트워킹 보안은 구매 기준이 되고 있다

기업 구매자는 구매 당일에 제공되는 기능뿐 아니라 네트워크 플랫폼을 둘러싼 복구 체계도 평가해야 한다.

전통적인 조달 문서는 흔히 처리량, 지연 시간, 지원 프로토콜, 전력 소비, 포트 밀도, 구매 조건을 강조한다. 이러한 범주는 여전히 중요하다. AI 네트워킹 보안은 소프트웨어 노출, 운영 증거, 복구 속도에 관한 질문을 추가한다.

구매자는 먼저 공급업체의 공개 관행을 검토해야 한다. 유용한 권고문은 영향받는 릴리스, 필요한 구성, 수정 버전, 우회 조치, 침해 지표를 명시한다. 배포 맥락이 없는 심각도 점수는 운영팀에 너무 적은 지침만 제공한다.

둘째, 구매자에게는 현실적인 업그레이드 경로가 필요하다. 네트워크 소프트웨어 릴리스에는 여러 수정 사항, 종속성, 하드웨어별 고려 사항이 포함되는 경우가 많다. 공급업체는 핫픽스가 존재하는지, 아니면 고객이 더 이후의 유지보수 릴리스로 이동해야 하는지를 명확히 해야 한다.

여러 Arista 권고문은 수정된 EOS 버전으로 업그레이드할 것을 권고한다. 일부는 핫픽스를 제공하지 않는다고 명시한다. 이러한 차이는 팀이 변경 기간을 예약하고 호환성을 테스트하는 방식에 영향을 미친다.

셋째, 조직은 자체 인벤토리가 기본적인 노출 질문에 신속히 답할 수 있는지 테스트해야 한다. 팀은 P4Runtime이 활성화된 모든 장치를 식별할 수 있는가? 모든 gNMI 엔드포인트와 연결이 허용된 ID를 찾을 수 있는가?

환경 전반의 OSPF, IS-IS, DHCP 릴레이, BFD, VRRP 구성을 매핑할 수 있는가? 테스트 시스템과 프로덕션 패브릭을 구분할 수 있는가? 느린 답변은 공급업체 패치만으로 해결할 수 없는 내부 통제 문제를 드러낸다.

넷째, 구매자는 관리 서비스 주변의 격리를 평가해야 한다. 프로그래밍 가능한 인터페이스는 광범위한 사용자 또는 워크로드 네트워크에서 접근 가능해서는 안 된다. 인증, 권한 부여, 인증서 처리, 로깅, 자격 증명 교체에는 독립적인 통제가 필요하다.

다섯째, 팀은 AI 시스템의 위협 모델링에 네트워크 인프라를 포함해야 한다. 위협 모델링은 자산, 접근 경로, 실패 모드, 방어 수단을 식별하는 체계적인 프로세스다. 모델과 학습 데이터만이 가치 있는 표적은 아니다.

네트워크를 제어하는 공격자는 분산 작업을 방해하고, 연결성을 변경하고, 관리 정보를 수집하거나, 지속적인 운영 불확실성을 만들 수 있다. 서비스 거부 공격조차 특수 컴퓨팅 자원이 유휴 상태가 되면 비용이 커질 수 있다.

이 위험은 공동 책임을 만든다. 공급업체는 안전한 제품을 설계하고 유지해야 하지만, 고객은 어떤 서비스를 활성화하고 어디에 노출할지 결정한다. 통합업체와 자동화 팀 역시 자격 증명과 권한이 확산되는 방식에 영향을 준다.

Arista의 공개는 구성 기본값이 중요한 이유를 보여준다. P4Runtime이 기본적으로 비활성화되어 있다는 점은 CVE-2026-73453에 노출되는 대상의 수를 제한한다. 이를 활성화하는 고객은 접근 통제와 라이프사이클 모니터링에 대한 추가 책임을 진다.

Cisco의 확장은 이 과제의 규모를 강조한다. AI 인프라 사업은 시스템, 실리콘, 광학 장비, 소프트웨어에 걸쳐 있다. 더 넓은 포트폴리오는 고객의 운영 통합을 도울 수 있지만, 조율된 보안 지원이 필요한 구성 요소도 늘어난다.

Arista는 EOS, 고속 스위칭, 클라우드 지향 운영을 중심으로 한 집중된 대안을 제공한다. 일관된 운영 모델은 일부 작업을 단순화할 수 있다. 그러나 일관성이 공유된 관리 및 프로토콜 계층에서 결함을 없애지는 않는다.

구매자는 두 접근 방식 모두에 대해 증거를 요청해야 한다. 유용한 증거에는 권고문 대응 시간, 지원 릴리스 수명, 자동화된 노출 점검, 업그레이드 성공률, 복구 후 검증이 포함된다. 안전한 인프라에 관한 마케팅 주장은 이러한 운영 지표를 대체할 수 없다.

9월 공개는 공급업체 평가에 새로운 질문도 제기한다. 공급업체는 보안 개발 과정에서 AI를 어떻게 사용하는가? 자동화된 코드 분석은 적용 범위를 확대할 수 있지만, 구매자는 사람이 발견 사항을 어떻게 검증하고 수정 사항의 우선순위를 정하는지 알아야 한다.

AI 지원 취약점 발견은 업계 전반의 권고문 수를 늘릴 수 있다. 그렇게 된다면 원시 건수는 공급업체 비교에 더욱 쓸모없어질 것이다. 심각도, 악용 가능성, 대응 품질, 고객 복구 노력의 중요성이 더 커질 것이다.

Arista가 공개를 신뢰로 전환할 수 있는지 보여줄 세 가지 신호

다음 시험대는 Arista가 어려운 권고문 주기를 더 빠른 복구, 더 명확한 고객 증거, 더 안전한 AI 인프라 성장으로 전환할 수 있는지 여부다.

첫 번째 신호는 수정된 EOS 릴리스의 도입이다. Arista의 권고문은 영향받는 소프트웨어 트레인과 수정된 소프트웨어 트레인을 나열하지만, 공개 자료는 고객이 얼마나 신속히 이동하는지 보여주지 않는다. 업그레이드 진행 상황은 취약한 구성이 얼마나 오래 서비스에 남는지를 결정할 것이다.

중대한 운영 문제 없이 빠르게 마이그레이션이 이뤄진다면 Arista의 보안 서사는 강화될 것이다. 조율된 공개와 릴리스 계획이 대규모 설치 기반 전반의 위험을 줄일 수 있음을 보여주기 때문이다. 도입이 느리다면 많은 수정 사항을 함께 공개하는 방식의 현실적 한계가 드러날 것이다.

운영자는 수정된 권고문도 주시해야 한다. 공급업체는 때때로 공개 후 영향받는 버전 목록을 확대하거나, 악용 조건을 구체화하거나, 복구 지침을 수정한다. 중요한 수정은 우선순위와 유지보수 계획 모두를 바꿀 수 있다.

두 번째 신호는 악용 증거다. Arista는 현재 가장 심각한 내부 발견 취약점에 대한 악의적 사용을 알고 있지 않다고 밝히고 있다. 이 진술은 중요하지만, 이는 공개 시점에 회사가 알고 있는 사실을 설명한다.

CVE-2026-73453의 악용이 확인되면, 특히 공격자가 예상치 못한 네트워크 경로에서 P4Runtime에 도달했다면 위험 수준은 급격히 높아질 것이다. gNMI 또는 권한 부여 결함의 악용 역시 관리 플레인 격리와 자격 증명 통제에 주목하게 만들 것이다.

악용 사례가 계속 나타나지 않는다면 더 신중한 해석을 뒷받침하게 될 것이다. 이는 구성 요건, 제한된 접근 가능성, 적시 공개가 실제 환경에서의 악용을 제한했음을 시사한다. 그렇다고 패치 적용이 선택 사항이 되는 것은 아니다.

세 번째 신호는 Arista와 Cisco가 차기 AI 네트워킹 제품군에 보안을 어떻게 포함하는지다. 두 회사 모두 더 빠르고 더 고밀도인 인프라 수요의 혜택을 받고 있다. 향후 발표에는 성능 주장과 함께 구체적인 수명주기 및 운영 통제가 포함돼야 한다.

Arista는 이미 늘어난 보안 권고 건수를 AI 지원 취약점 발견과 연결해 설명했다. 다음 단계는 탐지가 관리 가능한 완화 조치로 이어진다는 점을 입증하는 것이다. 고객에게 필요한 것은 수동으로 검토해야 할 목록 하나를 더하는 것이 아니라, 장비별로 적용 가능한 취약점을 식별하는 도구다.

Cisco의 주문 증가세도 유사한 질문을 제기한다. AI 인프라 주문이 확대되는 가운데 소프트웨어 유지보수와 보안 조정을 함께 확장할 수 있을까? 강한 매출은 수요를 입증하지만, 장기적 신뢰는 해당 시스템이 실제 운영에 들어간 이후에 무엇이 일어나는지에 달려 있다.

경쟁 압력은 두 회사를 넘어 확산될 것이다. Nvidia, Juniper Networks, Broadcom 및 기타 인프라 공급업체는 스위치, 네트워크 운영 체제, 인터커넥트, 실리콘, 소프트웨어를 통해 AI 패브릭 설계에 영향을 미친다. 각각은 운영자가 모니터링해야 하는 의존성을 추가한다.

개발자와 AI 플랫폼 팀에 주는 교훈은 즉각적이다. 네트워크 보안 권고는 다른 누군가의 유지보수 소식이 아니다. 이는 분산 학습, 추론 트래픽, 스토리지 접근, 서비스 조정을 전달하는 인프라의 장애 유형을 설명한다.

기업 구매자는 다음 조달 결정을 내리기 전에 공급업체에 노출 평가 워크플로를 요구해야 한다. 보안 팀은 지금 관리 인터페이스를 검증하고, 네트워크 팀은 검증된 업그레이드를 계획해야 한다. 경영진은 AI 인프라 준비 상태의 일부로 완화 역량을 측정해야 한다.

Arista의 보안 권고가 회사의 성장을 부정하거나 Cisco가 위험 없는 대안임을 입증하는 것은 아니다. 이는 두 공급업체의 AI 네트워킹 기회 뒤에 숨은 과제를 드러낸다. 다음 승자는 그 과제를 가시화하고, 범위를 통제하며, 일관되게 해결 가능하게 만드는 공급업체가 될 것이다.