보안 지키던 'AI 해커', 금융권 해킹 도구로 둔갑

인공지능(AI)이 사람 대신 해킹해 보안 약점을 찾아내는 'AI 해커'가 범죄 도구로도 쓰이면서 누구에게 팔고 어디까지 공개할지 정하는 일이 과제로 떠올랐다. 기업 보안 점검 상품으로 거래되는 도구가 사용자에 따라 해킹 무기가 되는 셈이다. 해외는 개발사가 이용자를 심사해 문턱을 두고 있지만 국내에는 판매·공개 대상을 정한 지침이 분명하지 않다.

AI 해커는 '모의해킹'을 AI가 스스로 해내는 프로그램이다. 모의해킹은 선의의 보안 전문가인 화이트해커가 기업의 의뢰를 받아 일부러 시스템을 공격해 보고 허점을 찾는 작업이다. AI 해커는 공격 대상을 살펴 약점을 찾고 어떤 길로 들어갈지 계획을 세운 뒤 실제로 뚫리는지 확인하는 과정을 사람의 지시 없이 되풀이한다. 자기 회사 시스템을 점검하는 데 쓰면 보안 서비스지만 허락 없이 남의 시스템에 쓰면 그대로 해킹 도구가 된다.

최근 국내 금융권 연쇄 해킹에 쓰인 것으로 추정되는 '아르텍스(ARTEX)'가 대표적이다. 아르텍스는 중국의 한 보안 엔지니어가 점검용으로 개발해 오픈소스로 공개한 AI 해커였지만 쓰는 사람에 따라 남의 시스템에 몰래 침입하는 크래커(Cracker) 도구로 둔갑했다. 개발자가 지난 8일 아르텍스를 비공개로 돌렸지만 이미 퍼진 복사본은 거둬들일 수 없었다. 안랩 추적 결과 지난 14일 기준 아르텍스를 설치해 돌리는 것으로 보이는 인터넷 주소(IP)는 900개를 넘었다.

한국계 보안기업 티오리는 AI 해커 '진트(Xint)'를 삼성전자에 이어 지난 8월 우리금융그룹에 공급했다. 진트에는 오남용을 막는 장치가 있다. AI가 오작동하더라도 승인받지 않은 곳으로는 공격 명령이 나가지 않도록 실행 단계에서 막는다. 티오리 관계자는 "남의 시스템을 허락 없이 들여다보는 일을 막기 위해 권한이나 점검 범위가 입증되지 않으면 점검 프로세스 자체가 시작되지 않는다"고 밝혔다. 이런 안전장치는 기업이 자율적으로 둔 것이다.

과학기술정보통신부(과기정통부) 관계자는 동행미디어 시대와의 통화에서 "공격 기능을 가진 보안 AI의 판매·공개 대상을 정한 (의무적인) 지침이 없다"고 밝혔다.

해외에서는 정부가 개발사와 함께 문턱을 관리한다. 앤트로픽은 자격 심사를 통과한 보안기업과 전문가에게만 고급 사이버보안 기능을 열어 준다. 오픈AI도 검증된 보안 전문가와 국가기관에만 고성능 모델을 쓸 수 있게 한다. 앤트로픽은 지난 6월 미국 상무부의 수출 통제에 따라 최상위 모델 '미토스(Mythos) 5'와 '페이블(Fable) 5'의 접근을 중단했다가, 같은 달 말 통제가 풀리자 7월1일 재개했다.

정부가 직접 만드는 보안 AI도 공개 범위를 아직 정하지 않았다. 과기정통부는 지난달 3일 '사이버 보안 특화 AI 파운데이션 모델'(보안 서비스에 두루 쓰는 바탕 AI) 사업자로 네이버클라우드 컨소시엄을 선정했다. 최종 모델은 오픈소스로 공개할 방침이다. 과기정통부 정보보호산업과는 "완성이 된 다음에 계약과 개발자 협의를 통해 정할 예정이다. 안전 문제를 고려해 신중하게 보고 있다"는 입장이다.

업계에서는 공개할지 말지보다 어디까지 공개할지를 먼저 따져야 한다고 본다. 보안업계 관계자는 "실제 공격에 직접 활용될 수 있는 고위험 기능은 접근 권한을 제한하거나 인증된 연구자와 보안 전문가 중심으로 제공하는 방식도 검토할 수 있다"고 말했다. 앤트로픽과 오픈AI가 이미 쓰고 있는 방식이다.

AI 해커의 통제도 숙제다. 최대선 숭실대 소프트웨어학부 교수(AI안정성연구센터장)는 "요즘 나오는 에이전트들은 해킹 능력 자체는 좋은데 통제 장치가 별로 없다. 보안 점검을 하다가 더 큰 사고를 나도 모르게 일으킬 수도 있다"고 말했다.

최 교수는 배포 통제에는 한계가 있다며 AI가 데이터와 명령을 구분하지 못하는 약점을 역이용한 방어를 대안으로 들었다. 그는 "사람은 쉽게 알아채지만 AI는 알아채지 못하는 부분이 있다. 공격하는 것도 AI인 만큼 그 AI를 방해하거나 교란해 해킹을 방어하는 방향이 앞으로 반드시 필요하다"고 말했다.