[인터뷰] ‘사이버 추론 시스템’ 세계 최초 개발… 얀 쇼시타이시빌리 교수 “챗GPT 같은 LLM, 사이버보안서 중대 이슈 될 것”

세계에서 가장 오래된 화이트해커 그룹 ‘셸피쉬’ 이끌어
美 사이버안보인프라보호청기술 자문위원
6월 14일 열리는 ‘2023 사이버보안콘퍼런스’에서 기조강연

얀 쇼시타이시빌리 애리조나 주립대학교 교수./애리조나 주립대학교 홈페이지

“챗GPT를 비롯한 거대언어모델(LLM)은 피싱이나 사기 등 인간과 상호작용하는 다양한 형태의 사이버 범죄에 활용되기에 상당히 적합합니다. 아직까지 LLM의 영향을 크게 느끼지 못한 이유는 LLM을 범죄에 사용하는데 비용이 비교적 많이 들기 때문입니다. 그러나 이 비용은 이미 하락하고 있으며 앞으로 LLM이 사이버 보안에 있어 중대한 이슈가 되는 것은 시간 문제입니다.”

오는 14일 조선비즈가 주최하는 ‘2023 사이버보안콘퍼런스’에서 기조강연자로 나서는 얀 쇼시타이시빌리(Yan Shoshitaishvili) 미국 애리조나주립대 교수는 8일 서면인터뷰를 통해 이같이 말했다. 쇼시타이시빌리 교수는 현재 미국 사이버안보인프라보호청(CISA) 기술 자문위원으로 참여하고 있다. 그는 세계에서 가장 오래된 화이트해커 그룹인 ‘셸피쉬(Shellphish)’를 이끌었고, 최고 권위의 해킹 방어대회 데프콘(DEFCON CTF)도 주최했다.

그는 “앞서 로그4j’(log4j) 사건이 주목할 만한 깨달음을 줬지만, 다른 프로젝트에도 비슷한 문제들이 숨어 있을 것”이라며 “정부 기관과 기업들이 LLM을 활용한 사이버 범죄에 대비해야 한다”고 말했다. 로그4j는 기업 홈페이지 등 인터넷 서비스 운영·관리 목적의 로그 기록(프로그램 개발 기록)을 남기기 위한 자바(Java) 언어 기반 라이브러리(프로그램 기능 집합체)다. 로그4j의 보안 취약성은 마이크로소프트(MS)의 온라인게임인 ‘마인크래프트’에서 처음 확인됐다. 마인크래프트의 자바 버전에서 프로그래밍 코드로 이뤄진 특정 메시지를 입력하면 상대 컴퓨터를 조종할 수 있는 현상이 일어났는데, 그간 수많은 기업들이 로그4j를 활용했기 때문에 세계적으로 사태가 커졌다.

쇼시타이시빌리 교수가 연구하는 주요 분야는 이 같은 취약점을 찾아내고 수정하기 위한 소프트웨어를 분석하는 것이다. 그는 7년 전 미국 국방고등연구계획국(DARPA)의 사이버 그랜드 챌린지 기간 동안 자동으로 이 같은 작업을 하는 ‘사이버 추론 시스템’을 세계 최초로 개발했다. 그는 “학계에서는 주로 소프트웨어를 더 빠르게 분석하거나 코드 경로를 더 자세히 분석하려는 방향으로 연구를 진행하고 있다. 중요한 연구 분야이며, 저 또한 이와 관련해 진행 중인 연구가 있다”면서도 “어떻게 하면 현재의 기술이 더 많은 소프트웨어를 분석할 수 있는지에 대해 집중하고 있다. 또 어떤 시스템이 현실에 도입되기 전에 보안 취약성을 먼저 확인할 수 있는 방법을 연구하고 있다”고 말했다.

쇼시타이시빌리 교수가 기조강연자로 참석하는 ‘2023 사이버보안콘퍼런스’는 이달 14일 서울 소공동 웨스틴조선호텔에서 ‘AI 시대의 사이버 위협’을 주제로 열린다. 쇼시타이시빌리 교수는 ‘보안 취약성 평가 자동화의 과거, 현재, 그리고 미래’(The Past, Present, and Future of Automation in Vulnerability Assessment)라는 주제로 강연에 나선다. 그는 “보안 분석 자동화에 대한 전문가들의 견해는 극명하게 다르다”며 “이를 낙관적으로 보는 시각도 있는 반면, 여러 형태의 사이버 공격에 보안 자동화를 일반적으로 적용하기는 어렵다고 보는 시각도 있다. 양쪽의 논리와 앞으로의 전망에 대해 공유하고자 한다”고 말했다.

2023 사이버보안콘퍼런스에는 크리스 호킹스(Chris Hockings) IBM시큐리티 아태지부 최고기술경영자(CTO)도 참석해 ‘개방형 보안 시대: AI를 위한 데이터, 계정, 그리고 위협 관리’(Open Security: Data, Identity and Threat Management for the AI Era)라는 주제로 기조강연을 한다. 이외에도 이원태 한국인터넷진흥원(KISA) 원장, 조지훈 삼성SDS 보안연구팀장(마스터), 엄정용 LG CNS 보안사업담당, 신종회 엔씨소프트 정보보호최고책임자(CISO), 김종현 SK쉴더스 시큐디움 센터장, 윤두식 지란지교시큐리티 대표 등이 강연자로 나선다.

- Copyright ⓒ 조선비즈 & Chosun.com -