"7분 만에 뚫리면 7초 만에 막아야"…AI 해커 맞설 AI 보안체계 시급[긴급진단-AI 해킹 포비아②]

AI 해킹 도구 확산에 침투 속도 급증…인력 중심 기존 방어 체계 한계

AI 해커 VS AI 보안 경쟁해야…정부도 보안 특화 AI 개발 착수

"AI 공격=불가항력" 인식 경계…'제로트러스트' 원칙 보안 재점검해야

[서울=뉴시스] 해킹 .참고용 이미지. 재판매 및 DB 금지 (사진=유토이미지) *재판매 및 DB 금지

[서울=뉴시스]윤정민 박은비 기자 = 금융권 연쇄 해킹사고를 계기로 인공지능(AI)을 활용한 방어체계 전환이 시급한 과제로 떠올랐다. AI가 시스템 탐색과 취약점 분석을 순식간에 해내기 때문이다. 방어 역시 위협 정보 공유와 탐지·차단을 자동화해야 한다는 지적이 나온다.

다만 이번 사고를 'AI 때문에 어쩔 수 없이 뚫린 사고'로 치부해서는 안 된다는 지적도 있다. 보안이 상대적으로 허술했던 외곽 시스템의 빈틈을 노린 공격이기 때문이다. AI가 없었어도 언제든 터질 수 있었던 사고라는 설명이다.

AI 시스템 취약점 탐색이 보편화된 만큼, 해커가 노릴 수 있는 모든 침투 통로(공격 표면)를 상시적으로 관리하는 체계가 절실하다는 게 보안 전문가들의 진단이다.

속도전으로 치닫는 해킹…AI로 AI를 막는다

[서울=뉴시스] 박영태 기자 = 4일 오후 서울 종로구 정부서울청사에서 열린 최근 침해위협 대응 전금융권 긴급 점검회의에서 이억원 금융위원장이 모두발언을 하고 있다. 2026.10.04. [email protected]

AI가 사이버 공격에 활용되면서 가장 크게 달라진 것은 '공격 속도'다. 과거 해커들이 시스템 허점을 찾아내고 공격 코드를 짜는 데 일주일이 걸렸다면, AI 자동 해킹 도구를 쓸 경우 수 분이면 충분하다.

글로벌 보안 기업 크라우드스트라이크에 따르면 지난해 AI를 활용한 사이버 공격은 전년 대비 89% 급증했다. 해커가 시스템 내부로 침투하는 데 걸리는 평균 시간은 29분. 2024년 대비 65%나 빨라졌다. 심지어 27초 만에 보안시스템을 우회해 들어온 사례까지 보고됐다.

문제는 방어 체계가 여전히 인력 중심으로 작동하고 있다는 점이다. 대부분의 기업 보안 시스템은 이상 징후가 터지면 담당 직원이 이를 분석하고 대응하는 방식에 의존한다. IBM의 '2026 데이터 유출비용' 보고서에 따르면, 지난해 3월 올해 2월까지 발생한 정보 유출사고의 25%가 AI를 활용한 공격에 당한 것으로 나타났다.

전상훈 웨비즘 대표는 "AI 기반 공격 기법과 위협의 발전 주기가 과거 개월 단위에서 주, 일 단위로 대폭 줄었다"며 "이런 상황에서 AI 공격을 보안팀이 막는 건 사실상 불가능하다"고 지적했다. 에이전트 자동 해킹기술과 인력 대응간 속도 격차가 AI 시대 가장 큰 보안 취약점이 될 것이라는 경고다.

전문가들은 궁극적으로 'AI 대 AI'의 대결 구도로 전환해야 한다고 조언한다. 공격자의 변화 속도보다 더 빠르게 방어 체계를 전환하는 자율 보안 운영이 핵심이다. 공격자가 AI를 써서 7분 만에 들어온다면, 방어자는 AI를 써서 7초 만에 막아내는 자동 체계를 갖춰야 한다는 뜻이다.

이상근 고려대 AI보안연구소장은 담당자가 이메일로 주의를 당부한 뒤 대응하는 방식에서 벗어나 정보 공유와 대응을 자동화해야 한다며 "공격이 기계 속도로 들어오는 만큼 방어도 기계 속도로 이뤄지도록 해야 한다"고 말했다.

정부가 지난달 네이버클라우드 컨소시엄을 사업자로 선정해 보안 특화 AI 모델 개발에 나선 것도 이 때문이다. 네이버는 앞으로 10개월간 LG그룹사를 비롯한 참여사들과 함께 보안 특화 AI 모델을 개발한다. 이를 오픈소스 형태로 공개해 국가 핵심시설과 산업 현장에서 활용하도록 할 계획이다.

"회사 앱·웹 몇개인지 파악 못하는 경우 태반"…외부 접점 IT자산 전수조사 시급

AI 해킹 자동화 시대에 대응하기 위해선 역설적으로 '제로트러스트(Zero Trust: 아무도 믿지 말라)'는 보안 원칙에 보다 충실해야 한다는 목소리도 높다.

실제로 이번 금융권 사고에서 해커는 메인 금융거래 시스템이 아닌 외부 연계 시스템과 업무용 앱, 협력사 계정 등 '약한 고리'를 노렸다. 상대적으로 관리가 소홀한 접점들을 노린 것이다.

곽진 아주대 사이버보안학과 교수는 "은행을 비롯한 주요 기관의 외부 시스템 접점이 급격히 늘고 있다"며 "AI 기반 업무 시스템을 도입하면서 생각지 못한 접점이 생기고, 이를 통해 핵심 데이터에 접근하는 길이 열릴 수 있다"고 경고했다.

이는 AI 자동 취약점 스캔과 자동 공격에 노출되는 접점, 이른바 공격 표면이 그만큼 커졌다는 얘기다. 전상훈 대표는 "기업들은 자신들의 외부에 노출된 웹·앱 자산이 정확히 몇 개인지조차 알지 못하는 경우가 태반"이라며 "반면 AI 해커는 24시간 쉬지 않고 전체 공격 표면과 인프라 연관 관계를 순식간에 식별하고 탐색한다"고 지적했다. 정기·주기적 보안 점검 방식에서 벗어나 24시간 지속적인 공격 표면 관리 체계 도입이 시급하다는 제언이다.

전문가들은 AI 자율 해킹 시대에 대응하기 위해선 금융권은 물론 기업 보안 전략의 근본적인 재점검을 주문한다. 내부망에 있거나 정상 계정을 쓰더라도 무조건 신뢰하지 않는 '제로 트러스트' 원칙 적용이 필수다. 로그인 이후에도 평소보다 과도하게 고객 정보를 조회하면 즉시 차단하는 이상 행동 탐지 시스템이 가동돼야 한다.

원유재 충남대 인공지능학과 교수는 "외부망에서 내부망으로 접속할 때 한 단계를 더 거쳐야 하는데 이 과정이 없으면 공격이 훨씬 수월하다"며 "사고는 기본을 지키지 않는 데서 발생하므로 이번 계기를 통해 제대로 된 점검이 필요하다"고 강조했다.

한편, 이억원 금융위원장은 지난 4일 긴급 점검회의에서 AI 기반 보안체계 전환과 함께 기본 보안 점검을 강력히 주문했다. 이 위원장은 "새로운 유형의 빈도 높은 사이버 공격이 앞으로도 이어질 수 있다"며 "AI공격은 AI로 방어하는 보안체계 서둘러 마련해야 한다"고 강조했다.


◎공감언론 뉴시스 [email protected], [email protected]