'AI 해킹' 우려가 현실로…정부·기업은 방어책 고심

인공지능(AI)이 사이버 공격의 문턱을 낮추고 피해를 키울 수 있다는 우려가 국내 금융권 해킹 사건을 계기로 현실적 위협으로 다가왔습니다.

금융권 정보유출 과정에서 AI 기반 침투 도구를 활용한 정황이 드러나면서 지난주에는 정부와 기업의 보안 대응 강화 움직임이 이어졌습니다.

해외에서는 AI 시스템의 안전성을 충분히 검증하지 않으면 향후 2년 안에 더 심각한 사고가 발생할 수 있다는 경고도 나왔습니다.

공격자가 AI로 취약점을 빠르게 찾아내는 상황에서 방어자 역시 AI를 활용해 대응 속도를 높여야 한다는 목소리가 커지고 있습니다.

국내 금융권 정보유출 사태는 AI를 활용한 사이버 공격의 위험성이 더욱 부각된 사례였습니다.

금융당국에 따르면, 신한·KB·하나·부산은행 등 16개 금융기관에서 약 10만 건의 정보가 유출됐으며, 공격 IP에서 AI 자율 침투테스트 도구로 알려진 '아르텍스'(ARTEX)의 흔적이 발견됐습니다.

보안 취약점을 점검하는 AI 도구가 실제 공격에 악용됐을 가능성을 보여주는 정황입니다.

최우혁 과학기술정보통신부 정보보호네트워크정책실장은 지난 15일 국회 과학기술정보방송통신위원회 국정감사에서 AI를 활용한 공격에 대해 "동시다발적으로 아주 짧은 시간에 자동으로 수행된다는 게 특징"이라고 설명했습니다.

이어 "공격이 AI에 의한 것인지 아닌지 확인하는 것은 전문가들도 상당히 어려운 수준"이라고 분석했습니다.

정부는 공격의 속도와 방식이 달라지는 상황에 대응해 화이트해커의 취약점 탐색 활동을 제도적으로 뒷받침할 방침입니다.

최 실장은 "현행 정보통신망법에 따르면 화이트해커가 공격을 해보는 것도 불법 행위가 된다"며 "이 부분을 완화해 화이트해커도 공격을 통해 취약점을 찾아 빨리 고쳐나갈 수 있도록 하는 제도의 시범사업을 진행하고 있다"고 밝혔습니다.

시범사업을 마친 뒤에는 관련 제도화를 추진할 계획입니다.

지난 9월 시작한 보안 특화 AI 파운데이션 모델, 이른바 '특파모' 사업은 내년 활용을 목표로 진행하고 있습니다.

그전까지는 오픈AI의 프런티어 모델을 확보해 긴급한 취약점 점검에 우선 활용한다는 설명입니다.

기업 현장에서는 기존 보안 체계에 AI를 접목해 공격자가 취약점을 악용하기 전에 문제를 찾아 고치는 방안이 논의됐습니다.

오픈AI는 지난 16일 서울 강남구에서 국내 기업 최고정보보호책임자(CISO) 등 임원급 60여 명을 대상으로 '사이버 CXO 라운드테이블'을 열었습니다.

발표자들은 AI의 취약점 탐색과 공격 경로 분석 능력이 매우 빠르게 발전하면서 기업에 주어진 대응 시간이 줄어들고 있다고 진단했습니다.

이에 방어자도 AI에 관리 대상 시스템의 코드와 운영 맥락을 제공해 취약점을 선제적으로 파악하고 해결해야 한다고 제안했습니다.

오픈AI는 자사 AI 모델과 코덱스, 코덱스 시큐리티, 보안 업무 절차를 연결한 통합 사이버 방어 설루션 '데이브레이크'의 활용 방안도 소개했습니다.

데이브레이크는 취약점을 발견하고 통제된 환경에서 실제 악용 가능성을 검증한 뒤 수정안을 마련하고 효과를 확인하도록 지원합니다.

AI 에이전트를 기존 보안·개발 도구와 연결해 취약점 점검과 해결을 지속하는 운영 체계 '디펜스 팩토리' 경험도 공유했습니다.

오픈AI는 이러한 체계를 운영할 때도 사람의 감독과 명확한 권한 설정이 중요하다고 강조했습니다.

AI를 악용하는 공격과 함께 AI 에이전트 자체가 인간의 통제를 벗어날 위험에 대한 경고도 나왔습니다.

데미스 허사비스 구글 최고과학자 겸 딥마인드 이사회 의장은 지난 14일(현지시간) 아일랜드 더블린에서 열린 AI 콘퍼런스에서 최근 드러난 AI 관련 보안 사고를 "조기 경고사격"으로 평가했다고 AFP·로이터 통신이 보도했습니다.

허사비스 의장은 향후 2년여 동안 업계와 기업, 정부가 시스템의 안전성을 확보하기 위해 노력하지 않으면 사고가 더 심각해질 수 있다고 밝혔습니다.

새 AI 모델을 출시할 때는 인터넷 연결이 없는 '샌드박스' 격리 환경에서 성능과 안전성을 검증해야 한다는 제안도 내놨습니다.

원자력 분야 등의 모범 사례를 참고해 국제 표준기구를 설립하되, 혁신을 저해하지 않도록 유연하게 운영해야 한다고 강조했습니다.

같은 행사에 참석한 헨나 비르쿠넨 유럽연합(EU) 집행위원회 부위원장도 기업들이 치열한 경쟁 속에서 모델 검증에 충분한 시간과 자원을 투입하지 않는 것 같다고 지적하며 안전성 시험 강화를 촉구했습니다.