최근 국내 금융권 해킹과 관련해 주목받은 중국산 인공지능(AI) 기반 자율형 침투테스트 도구 '아르텍스(ARTEX)'의 한국어판이 등장했습니다.

중국어 기반으로 개발된 아르텍스가 한국어와 일본어 등으로 번역·공유되면서 언어 장벽이 낮아져 보안 연구와 정상적인 침투 테스트에 활용하기 쉬워졌지만 악의적인 공격자의 접근과 도구 확산 가능성도 커졌다는 우려가 나옵니다.

특히 한국어판에는 원본에 없던 아르텍스 활동 흔적을 식별하기 위한 시그마(Sigma)·수리카타(Suricata) 탐지규칙까지 추가돼 보안업계의 관심을 끌고 있습니다.

오늘(7일) 개발자 플랫폼 깃허브에 따르면 'artex-ko'라는 이름의 ARTEX 한국어판 프로젝트가 공개돼 있습니다.

아르텍스는 대규모언어모델(LLM)을 연결해 AI 에이전트가 공격 대상을 분석하고 침투 경로를 계획하며 보안 도구를 실행하도록 설계된 자율형 침투 테스트 프로그램입니다.

익명을 요구한 보안업계 전문가는 "중국어 기반으로 개발된 AI 침투테스트 도구가 한국어와 일본어 등 여러 언어로 번역돼 공유되는 것은 해당 도구에 대한 관심과 활용 범위가 중국어권을 넘어 여러 국가로 확산하고 있다는 의미로 볼 수 있다"고 말했습니다.

이어 "자국어로 번역되면 언어 장벽이 낮아져 보안 연구나 정상적인 침투테스트에 활용하기 쉬워지는 측면이 있다"면서도 "전문지식이 상대적으로 부족한 이용자나 악의적인 공격자의 접근 역시 쉬워져 악용 가능성과 사이버 위협의 확산 범위가 커질 수 있다는 점은 주의할 필요가 있다"고 설명했습니다.

특히 한국어판에는 원본 중국어판에는 없던 아르텍스 활동 탐지 관련 자료도 추가됐습니다.

한국어판 제작자는 보안 로그에서 특정 위협 흔적을 식별하는 데 활용되는 시그마(Sigma) 탐지규칙을 비롯해 네트워크 침입탐지용 수리카타(Suricata) 규칙 등이 포함됐습니다.

보안업계 전문가는 "아르텍스는 AI가 상황에 따라 공격 방법을 달리할 수 있어 공격 행위 자체를 하나의 고정된 패턴으로 보는 데 한계가 있다"면서 "다만 네트워크 통신이나 스캐닝 과정 등 프로그램 구조상 비교적 고정적으로 나타나는 특징을 규칙화하면 아르텍스 사용 여부를 판단하는 데 참고할 수 있다"고 설명했습니다.

시그마는 다양한 보안 제품에서 수집되는 로그를 일정한 방식으로 분석하기 위한 범용 탐지규칙 형식입니다.

한국어판에 추가된 규칙 역시 아르텍스를 무조건 식별하는 기능이라기보다 보안 담당자가 아르텍스 관련 흔적을 탐지하는 데 활용할 수 있는 하나의 방법론에 가깝다는 설명입니다.

이 전문가는 "공격자가 탐지 대상이 되는 문자열이나 설정 등을 변경할 수 있어 해당 규칙만으로 아르텍스를 100% 탐지한다고 보기는 어렵다"며 "공개된 도구를 크게 수정하지 않고 악용하는 경우에는 일정 부분 탐지에 활용할 수 있을 것"이라고 말했습니다.

다만 한국어판 개발자가 원본에 없던 탐지 관련 자료를 별도로 추가한 구체적인 배경은 확인되지 않았습니다.

(사진=깃허브 캡처, 연합뉴스)