[MTN 머니투데이방송 이인애 기자]

(왼쪽부터)보안기업 파도(PADO)의 박찬근·김민수 선임연구원이 머니투데이방송(MTN)과 인터뷰를 하고 있다./사진=이인애 기자

최근 국내 금융권을 겨냥한 연쇄 해킹 사건에서 뜻밖의 단서가 발견됐다. 공격 배후로 추정되는 인물이 인공지능(AI) 개발 도구를 사용하면서 자신의 이력서와 개인정보를 남긴 정황이 포착된 것이다. 해킹에는 AI를 활용하면서 정작 자신의 신원을 감추는 데는 허술했던 셈이다. 다만 해당 인물이 실제 공격자인지는 아직 확정되지 않았다.

이 사례는 AI가 바꿔놓은 해킹의 세계를 단적으로 보여준다. 과거에는 전문적인 기술과 경험이 있어야 가능했던 공격을 이제는 AI의 도움으로 수행할 수 있지만, 공격자의 보안 지식까지 함께 높아지는 것은 아니기 때문이다.

실제 해킹 전문가들은 AI의 공격 능력을 어떻게 평가할까.

14일 머니투데이방송(MTN)은 세계적인 해킹대회 데프콘(DEFCON) 본선에 참가한 보안기업 파도(PADO)의 김민수·박찬근 선임연구원을 만나 물었다. 두 사람은 파도 보안연구소 '팀 웨이브(TEAM WAVE)' 소속으로, 기업의 보안 취약점을 찾아내고 실제 공격 상황을 가정해 침투를 시도하는 화이트해커다.

■"AI 혼자서도 충분히 빠르고, 충분히 잘합니다."

박 연구원은 "뛰어난 해커가 옆에서 정보를 주거나 잘못된 방향을 바로잡아 주면 더 잘하지만, AI 혼자서도 상당한 수준의 작업을 수행할 수 있다"고 말했다.

특히 해킹은 반드시 정해진 방법대로 문제를 풀어야 하는 작업이 아니다. 어떤 방법을 사용하든 목표에 도달하면 공격에 성공할 수 있다. 사람이 보기에는 비효율적이거나 엉뚱한 방법도 실제로는 효과를 낼 수 있다는 얘기다.

박 연구원은 "사람 입장에서는 굳이 저렇게 할 필요가 있나 싶은데 AI 입장에서는 합리적이라고 판단한 작업이 생각보다 효과적인 경우가 많다"고 설명했다.

그렇다고 AI가 인간이 몰랐던 해킹 기술을 끊임없이 만들어내는 것은 아니다. 현재 AI의 가장 큰 강점은 이미 알려진 기술을 빠르게 찾아내고 활용하는 능력이다.

김 연구원은 "암호학처럼 새로운 접근이 필요한 분야도 있지만 최근 발생하는 해킹은 이미 사람이 알고 있는 지식을 AI가 더 빠르게 찾아내는 성격이 강하다"고 말했다.

실제로 해킹에서 상당한 시간을 차지하는 것은 공격 자체보다 사전 준비다. 기업이 어떤 시스템을 사용하는지, 외부에 노출된 서버는 무엇인지, 어디에 취약점이 있을지 수많은 정보를 수집해야 한다.

김 연구원은 "지능형 지속 공격(APT) 조직은 정보 수집에만 길게는 1년 넘게 시간을 쓰기도 한다"며 "이제는 AI가 방대한 정보를 수집하고 조합해 주기 때문에 사람이 정보를 모으는 데 쏟는 시간이 크게 줄었다"고 설명했다.

더 주목할 변화는 해킹 실력의 격차가 좁혀지고 있다는 점이다.

과거에도 전문 지식 없이 남이 만든 해킹 도구를 사용하는 이른바 '스크립트 키디(Script Kiddie)'가 있었다. 하지만 자신이 알고 있는 도구의 기능을 벗어나기는 어려웠다.

AI가 등장하면서 이런 한계가 줄어들고 있다. 사용자가 공격 기술의 작동 원리를 모두 이해하지 못하더라도 AI에 작업을 요청하고 결과를 받아볼 수 있기 때문이다.

박 연구원은 "과거에도 도구만 이용해 해킹하는 사람들이 있었지만 AI가 등장하면서 접근성이 훨씬 좋아졌다"고 말했다.

최근 금융권 해킹 사건에서 발견된 공격자의 흔적도 이런 맥락에서 눈여겨볼 대목이다.

공격에 활용된 것으로 의심되는 도구 '아르텍스(ARTEX)'와 관련해 중국 광둥성에 거주하는 26세 인물의 정보가 단서로 제시됐다. AI 개발 도구에 남아 있던 이력서 관련 정보 등이 분석에 활용된 것으로 알려졌다.

두 연구원은 이처럼 공격자가 자신의 흔적을 남겼다는 점에 주목했다.

박 연구원은 "정말 본격적으로 공격을 준비했다면 오랜 시간 들키지 않고 정보를 수집했을 것"이라며 "AI에 작업을 맡기면서 흔적이 남았을 수도 있다"고 말했다.

김 연구원도 "악의적인 공격을 마음먹었다면 그렇게 흔적을 남겨서는 안 된다"고 했다.

AI가 공격에 필요한 기술을 제공하더라도 이를 사용하는 사람이 숙련된 해커처럼 행동하는 것은 아니라는 의미다. 물론 이번 사건의 공격자가 실제로 어느 정도의 기술을 갖췄는지는 확인되지 않았다.

■글로벌 해킹대회에서도 확인된 AI 실력

올해 세계적인 해킹 대회 데프콘 본선에서는 상대 팀이 게임 속 지형과 캐릭터의 위치를 계속 바꾸면 이를 분석해 목표 지점까지 도달하는 방법을 찾아내는 문제가 등장했다.

사람이 매번 변경된 환경을 분석하기에는 시간이 부족했다. 과거였다면 이를 자동화하는 별도의 프로그램을 개발해야 했지만 이제는 AI가 그 과정을 대신할 수 있었다.

김 연구원은 "사람이 직접 하기에는 속도에 한계가 있었고 별도 도구를 만드는 것도 복잡했다"며 "AI가 자동으로 분석하고 결과를 내놓는 과정을 구축하는 것이 중요했다"고 설명했다.

박 연구원은 "예전이었다면 자동화 도구를 직접 개발했겠지만 지금은 AI에 맡기면 된다"고 말했다.

그렇다면 앞으로 인간 해커는 필요 없어질까.

두 연구원은 아직 AI가 따라오기 어려운 영역으로 경험에서 나오는 '직감'을 꼽았다.

박 연구원은 "과거에 분석했던 경험이 있으면 특정 기능을 보는 것만으로도 어떤 취약점이 존재할지 예상할 수 있다"며 "서로 다른 제품이라도 비슷한 기능을 가지고 있으면 유사한 취약점이 나타나는 경우가 있다"고 설명했다.

김 연구원 역시 "AI는 많은 대상을 분석하면서 트래픽과 흔적을 남기지만 사람은 직감을 바탕으로 필요한 부분을 집중적으로 살펴볼 수 있다"고 말했다.

다만 해킹에서 사람의 역할은 이미 달라지고 있다. 과거에는 직접 정보를 찾고 분석하고 공격 도구를 만들었다면, 이제는 AI가 상당 부분을 수행하고 사람은 목표와 방향을 정하는 역할에 집중하는 것이다.

문제는 공격 기술이 빠르게 발전하는 동안 기업의 방어 방식은 크게 달라지지 않았다는 점이다.

김 연구원은 "기업들이 보안에 많은 돈을 투자한다고 하지만 정작 어디에 투자해야 하는지 제대로 파악하지 못하는 경우가 있다"며 "안전한 소프트웨어를 만들기 위한 투자보다 AI 보안 장비나 새로운 솔루션을 도입하는 데 집중하는 것 같다"고 지적했다.

박 연구원도 "기업이 운영하는 서비스의 구조를 정확하게 이해하고 어떤 취약점이 있는지 지속적으로 확인해야 한다"며 "여러 보안 제품을 도입하는 것 자체가 목적이 돼서는 안 된다"고 강조했다.

AI가 해킹의 모든 과정을 완벽하게 대신하는 시대가 온 것은 아니다. 하지만 과거에는 전문 해커만 수행할 수 있었던 작업을 AI가 대신하면서 공격에 필요한 시간과 기술의 장벽이 낮아지고 있는 것은 분명하다.

이제 기업이 경계해야 할 상대는 뛰어난 실력을 갖춘 해커만이 아니다. 해킹을 잘 모르는 사람도 AI를 이용해 예상보다 강력한 공격을 시도할 수 있는 시대가 됐다.

이인애 머니투데이방송 MTN 기자

원문 기사

• https://news.mtn.co.kr/article/2026101415032963070