5일 제주 메종글래드호텔에서 한국정보보호학회 CPS보안연구회 주최 '제18회 CPS 보안 워크숍'이 진행되고 있다./사진=이인애 기자
생성형 AI가 전문가 수준의 취약점 탐지와 공격 코드 생성 능력을 갖추면서 국내 정보보호 체계도 기존 대응 방식만으로는 한계에 직면했다는 지적이 나왔다. AI가 사이버 공격의 속도와 규모를 바꾸고 있는 만큼 보안 정책도 탐지 중심에서 대응 속도와 취약점 처리 역량 중심으로 전환해야 한다는 목소리가 커지고 있다.
5일 제주 메종글래드호텔에서 열린 한국정보보호학회 CPS보안연구회 주최 '제18회 CPS 보안 워크숍'에서는 미토스 등장 이후 변화한 사이버 위협 환경과 대응 과제가 주요 화두로 다뤄졌다.
최대선 숭실대 교수는 'AI 보안 이슈와 전망' 발표에서 AI가 공격 도구이자 방어 도구로 동시에 작용하고 있다고 진단했다.
그는 AI 역량이 높아질수록 공격자의 생산성도 함께 증가한다고 설명했다. 정찰과 표적 분석 속도가 빨라지고 피싱 문안 생성 비용이 낮아지는 것은 물론 취약점 탐색과 악성코드 변형, 탐지 우회 기법 개발까지 자동화되고 있다는 것이다. 이에 따라 과거에는 고급 공격자만 수행할 수 있었던 작업을 일반 공격자도 손쉽게 시도할 수 있게 됐다고 분석했다.
특히 공개된 패치 정보나 개념증명(PoC) 코드를 AI가 빠르게 분석하면서 취약점 공개 이후 실제 공격까지 걸리는 시간이 크게 단축되고 있다고 지적했다.
최 교수는 앤트로픽이 추진 중인 '프로젝트 글라스윙'도 소개했다. 이는 초고성능 AI 모델인 미토스를 제한된 방어 목적으로 활용해 소프트웨어 취약점을 탐색하고 검증하는 프로젝트다. AI가 취약점을 찾는 속도는 계속 빨라질 것이라며, 앞으로는 취약점을 발견하는 것보다 이를 검증하고 패치 정보를 신속하게 공유하는 체계가 더 중요해질 것이라는 설명이다.
이날 행사에서는 AI 에이전트 확산에 따른 새로운 보안 과제도 소개됐다.
이태진 가천대 교수는 AI 에이전트가 대규모언어모델(LLM)과 외부 도구, 메모리, 데이터 등을 연계해 동작하는 만큼 기존 소프트웨어 취약점과는 다른 관점의 보안 점검이 필요하다고 설명했다.
특히 개별 기능에는 문제가 없더라도 전체 시스템 차원에서 의도하지 않은 행동이 발생하는 '구조적 취약점'이 새로운 위험 요소로 떠오르고 있다고 진단했다. 이메일 요약 과정에서 숨겨진 명령이 실행되거나 장기 메모리에 축적된 정보가 AI 판단을 왜곡하는 사례 등이 대표적이다.
AI 보안은 단순히 코드 결함을 찾는 것을 넘어 AI가 어떤 정보를 기억하고 어떤 도구를 사용하며 어떤 의사결정을 내리는 지까지 점검해야 하는 단계로 발전하고 있다는 것이다.
전문가들은 AI가 사이버 공격의 양상 자체를 바꾸고 있는 만큼 보안 체계 역시 취약점 탐지 중심에서 대응 속도와 처리 역량, AI 시스템 전반의 신뢰성 확보 중심으로 전환해야 한다고 입을 모았다.
이원태 국민대 특임교수 겸 국가AI전략위원회 보안특별위원장은 '미토스 충격 이후 대한민국 AI 보안정책의 방향과 과제' 발표에서 AI 기반 사이버 위협이 더 이상 미래 위험이 아닌 현실적 위협으로 다가왔다고 진단했다.
이 교수는 미토스 충격의 핵심을 AI가 단순 보조 도구를 넘어 자율적인 공격 주체로 진화했다는 점에서 찾았다. AI가 취약점을 대량으로 탐지하고 공격 과정을 자동화하면서 인간 중심의 보안 대응 체계가 이를 따라가기 어려워지고 있다는 설명이다.
특히 AI 공격 역량이 취약점 탐지의 산업화, 공격 속도 가속화, 추론 기반 공격, 공격 진입장벽 하락이라는 임계점에 이르렀다고 분석했다. 일부 단서만으로도 취약점을 추론하고 공격 경로를 구성할 수 있게 되면서 기존 취약점 공개·패치 체계 역시 새로운 부담을 안게 됐다는 것이다.
이 교수는 향후 AI가 찾아내는 취약점이 수만 건을 넘어 수십만·수백만 건 규모로 늘어날 가능성도 있다고 전망했다. 이 경우 개별 기업이나 기관이 기존 방식으로 취약점을 분류하고 패치하는 것은 사실상 불가능에 가까워질 수 있다고 진단했다.
국가 차원의 대응 방향으로는 단기적으로 민관이 취약점 대응 체계를 함께 구축하고, 중기적으로 AI 보안 특화 모델을 확보하며, 장기적으로는 독자 파운데이션 모델 자체에 보안을 내재화해야 한다는 의견도 제시됐다.
정부도 최근 과학기술정보통신부와 국가안보실 등을 중심으로 AI 기반 사이버 위협 대응 방안을 마련하고 있다. KISA 취약점 관리 체계를 통한 취약점·패치 관리 일원화, 주요 기업 점검, 중소기업 지원, 국제 협력 강화 등이 주요 내용이다.
이 교수는 "독자 파운데이션 모델에서 프론티어 AI 모델이 그 자체가 AI 보안 모델이 돼야 된다는 관점에서 지금 독자 파운데이션 모델을 보안 내재화 개발 기준으로 강화해서 우리도 K-미토스를 만들어야 되지 않냐는 논의가 이뤄지고 있다"고 말했다.
그러면서 "국내 취약점 대응 전문 기업들의 역량을 보니까 물론 미국과 편차는 있지만 해볼 만하다는 생각이 든다"고 국내 보안 기술력에 대한 긍정적인 평가를 내놓기도 했다.
