Board

생성형 인공지능(AI)이 산업 전반으로 빠르게 확산되면서 사이버보안 개념도 근본적으로 바뀌고 있다. AI가 업무 생산성을 높이는 도구를 넘어

소프트웨어 취약점을 찾아내고 공격 경로를 분석하는 수준으로 발전하면서 강력한 AI 모델의 공개와 접근 범위를 국가가 통제하는 초유의 상황까지 벌어졌다.

미국 AI 기업 앤스로픽의 사이버보안 특화 모델 ‘미토스(Mythos)’는 이를 상징적으로 보여 주는 사례다. 지난 4월 제한적으로 공개된 ‘미토스 프리뷰’는 오픈BSD에서

27년간 발견되지 않았던 취약점을 찾아내며 이른바 ‘미토스 쇼크’를 불러왔다.

앤스로픽은 4월 자체 보고서에서 “미토스 프리뷰는 사용자의 지시에 따라 모든 주요 운영체제와 모든 주요 웹브라우저에서 제로데이 취약점을 찾아내고

이를 악용할 수 있는 능력을 갖추고 있다”고 밝혔다. 또 “웹브라우저의 네 가지 취약점을 연계해 복잡한 JIT 힙 스프레이(JIT Heap Spray) 공격을 작성했고

렌더러 샌드박스와 운영체제 샌드박스를 모두 우회하는 데 성공했다”고 설명했다.

미국 정부는 국가안보를 이유로 해외 이용자는 물론 미국 내 외국 국적자의 미토스 5 접근까지 중단하라는 수출통제 지침을 내렸다. 해당 제한 조치는

6월 30일부로 해제됐지만 AI 모델의 소프트웨어 취약점 탐지 능력이 정부의 수출통제와 국가안보 심사 대상으로 떠올랐다는 사실 자체가

사이버보안 환경의 변화를 보여준다는 평가다.

미토스 쇼크는 국내에서도 국가 차원의 대응 의제로 떠올랐다. 이재명 대통령은 지난 16일 과학기술정보통신부 등 관계 부처 업무보고에서

미토스의 취약점 탐지 능력과 미국 정부의 수출통제 사례를 언급하며 독자적인 대응 역량 확보를 주문했다.

미토스가 던진 충격은 단순히 ‘해킹을 잘하는 AI’가 등장했다는 데 그치지 않는다. AI가 취약점을 발견하고 검증하는 속도가 빨라지면서

공격자도 같은 기술을 이용해 패치가 나오기 전에 취약점을 악용할 수 있게 됐다는 점이 핵심이다. 기존처럼 취약점 발견 이후 수주 또는 수개월에 걸쳐

분석과 패치를 진행하는 대응 체계로는 공격 속도를 따라가기 어려워진 것이다.

곽진 아주대 사이버보안학과 교수는 “AI가 해킹을 하는 속도는 사람이 대응할 수 있는 수준을 넘어선다”며

“AI 해커가 자동화를 넘어 자율성까지 갖추게 되면 단순한 해킹 도구를 넘어 국가와 기업을 위협하는 새로운 사이버 무기가 될 수 있다”고 말했다.

AI, 새로운 공격면이 되다

AI가 공격 능력을 갖추면서 보안의 대상도 기존 정보자산을 넘어 AI 자체로 빠르게 확대되고 있다. 과거 기업 보안은 개인정보와 서버, 네트워크를 보호하는 데

집중됐다. 그러나 생성형 AI가 업무 전반에 도입되면서 이제는 AI 모델과 학습 데이터, 추론 시스템, AI 에이전트, GPU 인프라, AI 데이터센터 등 AI를 구성하는

핵심 자산의 관리가 중요해졌다.

이를 겨냥한 악의적 프롬프트 주입, 모델 변조, 학습 데이터 오염, AI 에이전트 탈취 등 생성형 AI를 겨냥한 새로운 공격 기법도 빠르게 늘고 있다. 기존 보안이

시스템 침입과 정보 유출을 막는 데 초점을 맞췄다면, AI의 판단과 결과 자체의 신뢰성을 보호하는 것이 최중요 보안 과제가 된 셈이다.

글로벌 IT 자문기업 가트너는 지난 6월 열린 ‘가트너 시큐리티 & 리스크 매니지먼트 서밋’에서 ‘AI 애플리케이션 침해’를 핵심 사이버보안 위협 가운데 하나로 제시했다. 당시 가트너는 생성형 AI와 AI 에이전트 확산으로 공개 챗봇뿐 아니라 기업 내부 AI 서비스와 AI 에이전트, 서드파티 연동 서비스까지 새로운 공격면(Attack Surface)으로

확대되고 있다고 진단했다.

보안업계 관계자는 “AI 모델과 이를 기반으로 한 응용서비스 자체를 노리는 공격이 최대 우려 요소”라며 “에이전틱 AI를 넘어 피지컬 AI 시대로 접어들면서

공격 대상이 정보자산을 넘어 AI의 판단과 의사결정 자체를 오염시키는 방향으로 확대되고 있다”고 말했다.

AI가 보안을 책임지는 AI 시대가 왔다

이 같은 변화 속에서 사이버보안 경쟁력 역시 AI 활용 여부에 따라 좌우될 것이라는 전망이 나온다. 생성형 AI가 최고의 개발자이자 최고의 해커가 될 수 있는 시대가

되면서, 앞으로는 누가 먼저 취약점을 발견하느냐보다 이를 얼마나 빠르게 분석하고 우선순위를 판단해 실제 대응으로 연결하느냐가 기업의 보안 역량을 결정할

것이라는 분석이다.

실제 글로벌 빅테크들은 AI를 활용한 선제적 방어 체계 구축에 속도를 내고 있다. 구글은 오픈소스 취약점 탐지 플랫폼 'OSS-Fuzz'에 AI 기반 자동 수정 기술을

적용해 취약점 발견부터 패치 코드 생성까지 자동화하는 연구를 진행하고 있으며, 마이크로소프트도 AI를 활용한 위협 탐지와 보안 운영 자동화를 확대하고 있다.

AI를 단순한 개발 도구가 아닌 보안 운영 전반을 지원하는 핵심 인프라로 활용하려는 움직임이다.

앤트로픽의 ‘프로젝트 글래스윙(Project Glasswing)’ 역시 이러한 흐름을 대표하는 사례다. AWS와 구글, 마이크로소프트, 애플, 엔비디아, 시스코, JP모건체이스 등

주요 기업이 참여한 이 프로젝트는 AI를 활용해 운영체제와 브라우저, 오픈소스 소프트웨어의 취약점을 공격자보다 먼저 찾아내고, 발견된 문제를

신속하게 공유·보완하는 것을 목표로 한다. AI를 공격 도구가 아닌 방어 자산으로 활용하려는 글로벌 협력 모델인 셈이다.

전문가들은 앞으로 사이버보안의 핵심 경쟁력이 AI를 활용한 대응 체계 구축 여부에서 갈릴 것으로 보고 있다. AI가 취약점을 발견하는 속도가

인간의 대응 능력을 앞지르기 시작하면서 앞으로는 개별 취약점을 얼마나 많이 찾느냐보다 AI를 활용해 얼마나 빠르게 분석하고 대응 체계를 구축하느냐가

기업의 경쟁력을 좌우할 것이라는 분석이다.

염흥열 순천향대 정보보호학과 교수는 “이제는 보안 패러다임이 ‘AI 대 AI’의 경쟁 구도로 바뀌고 있다”며 “AI가 공격자의 역량을 강화하는 만큼 방어 역시 AI 기반으로

고도화돼야 한다”고 말했다.

[관련출처 : 인사이트코리아]