AI 해킹 초비상인데…'정통망법'에 발목 잡힌 정부

전 세계 웹사이트에 널리 쓰이는 프로그래밍 언어 PHP에서 치명적 취약점이 잇달아 드러나자 정부가 사이버 위기 경보를 '주의'로 올렸다. 그런데 정작 정부는 국내 어느 사이트가 취약한지조차 파악하지 못하고 있다. 정부가 먼저 취약점을 찾아내는 '스캐닝'이 정보통신망법 제48조 제1항에 저촉될 수 있어서다. 정부는 내년부터 선의의 취약점 탐색을 면책하는 법·제도 개선에 나설 계획이다. 그러나 인공지능(AI)을 활용한 해킹이 갈수록 빠르고 광범위해지는 만큼 대응을 서둘러야 한다는 지적이 나온다.

26일 관계부처에 따르면 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 22일 민간 분야 사이버 위기 경보를 '관심'에서 '주의'로 올렸다. PHP가 국내 수많은 홈페이지에 쓰여 대규모 해킹으로 번질 수 있다고 판단해서다. 이번 취약점은 로그인 없이 서버를 장악할 수 있는 'PHP2Shell' 2건(CVE-2026-109618, CVE-2026-109619)으로 PHP 엔진의 메모리 처리 결함에서 비롯됐다.

실제로 이상중 KISA 원장은 지난 23일 국회 과학기술정보방송통신위원회 종합감사에서 공공기관의 취약 버전 사용 현황을 묻는 질의에 "아직 파악하지 못하고 있다"며 "현재 국내 규정상 해당 시스템을 스캐닝할 수 있는 입장이 아니다"라고 답했다.

걸림돌은 정보통신망법 제48조 제1항이다. 이 조항은 정당한 접근권한 없이 정보통신망에 침입하는 것을 금지한다. 위반하면 5년 이하 징역 또는 5000만원 이하 벌금에 처해지고 미수범도 처벌된다(같은 법 제71조). 정부도 예외가 아니다. 김용대 카이스트 정보보호대학원 교수는 동행미디어 시대에 "해커는 마음대로 스캐닝해 취약한 곳을 찾아 공격해 들어오는데 정부는 불법이니까 (스캐닝을) 못 하는 것"이라며 "48조 1항이 기울어진 운동장을 만들고 있다"고 말했다.

AI 확산은 이 불균형을 키운다. 고학수 전 개인정보보호위원장은 "해커가 AI로 취약점을 찾는 일은 과거보다 훨씬 빠르고 광범위해졌지만 AI를 방어에 효과적으로 쓰기까지는 시차가 더 걸린다"고 설명했다.

지난 3월31일 공포된 개정 정보통신망법에도 해법은 없었다. 국회가 지난해 연쇄 해킹 사태 이후 발의된 법안 24건을 통합해 처리한 법이다. 그러나 개정의 무게중심은 직권조사 권한과 과징금 강화 등 사후 대응에 쏠렸다. 내년 4월1일 시행분까지 봐도 제48조 제1항은 그대로다.

정부는 기업·기관이 취약점 탐색 허용 범위를 미리 공개하고 화이트해커가 그 안에서 찾은 취약점을 신고하는 '보안 취약점 신고·조치·공개(CVD·VDP) 제도'로 공백을 메울 계획이다. 대통령 직속 국가인공지능전략위원회는 지난 2월 올해 시범사업, 내년 참여 확대와 법·제도 개선, 이후 법제화로 이어지는 3단계 로드맵을 의결했다. 로드맵에는 공공부문 참여 의무화도 담겼다.

이원태 국가AI전략위원회 보안특별위원장(전 KISA 원장)은 "화이트해커나 보안 연구자가 취약점을 탐지해도 위반이 되지 않도록 면책 법제화를 준비하고 있다"고 말했다.

문제는 시간이다. 22대 국회 임기는 2028년 5월에 끝난다. 내년 중 법안이 발의되더라도 현 국회에서 처리할 시간은 길어야 1년 남짓이다. 이 위원장은 "AI로 취약점 대응이 더 시급해진 만큼 법 개선 속도는 더 빨라져야 한다"고 강조했다.

이 제도로도 사각지대는 남는다. 참여하지 않은 민간 사이트는 이번처럼 취약점이 퍼져도 정부가 직접 점검하기 어렵다. 반면 미국 사이버보안·기반시설보안국(CISA)은 '핵심기반시설 사이버 사고 보고법'(CIRCIA)에 근거해 2023년부터 '랜섬웨어 취약점 경고 시범사업'(RVWP)을 운영해 왔다. CISA는 스캐닝 서비스 등록 기관을 직접 점검하고 미등록 기관은 공개·상용 데이터로 찾아낸다. 소유주를 모르면 2021년 국방수권법(NDAA)상 행정소환권으로 인터넷서비스업체에 가입자 정보를 요구한다. 다만 남용을 막으려 개인 기기는 빼고 소환장 한 건당 대상을 최대 20대로 묶었다.

고 전 위원장은 "지금 겪는 문제만 보고 해결책을 찾으면 2~3년 뒤 또 다른 문제가 쏟아질 것이다. 중장기 비전을 갖고 고민해야 한다"고 말했다.