"공격코드 등장까지 125일→반나절"…AI가 바꾼 해킹의 시간표[초광속 AI 해킹 上]

10년 묵은 PHP 결함, AI로 위험 입증…공개 2시간 만에 공격 시도 수십만건

MS "AI 도구 쓴 해킹조직, 3시간 안에 클라우드 관리자급 권한 확보"

밤낮 없이 여러 기업 동시 공격…사람의 승인 기다리는 방어와 속도 격차 심화

[서울=뉴시스] 기사의 이해를 돕기 위한 이미지. (사진=유토이미지) *재판매 및 DB 금지

[서울=뉴시스]윤정민 기자 = #1. 2년 전에도 이상 징후는 있었다. 하지만 실제 해킹 방법이 확인되지 않아 위험성이 묻혀 있었다. 그런데 지난 21일 공개된 연구 결과는 달랐다. 보안 결함들을 연결하면 로그인 없이도 서버 제어권을 훔칠 수 있는 치명적 취약점이 드러났다. 현재 세계 곳곳에서 해킹 공포를 떨게 만든 웹 프로그래밍 언어 'PHP'의 취약점(php2shell) 이야기다.

이 결함의 공격 가능성을 밝혀낸 일등 공신은 인공지능(AI)이었다. 연구진은 AI의 도움을 받아 기존에 찾지 못했던 침투 경로를 순식간에 찾아냈다.

여파는 거셌다. 보안 기업 클라우드플레어에 따르면 결함 공개 전 10시간 동안 수천 건이던 공격 시도가 공개 불과 2시간 만에 수십만 건으로 폭발했다.

#2. 21일(현지시간) 발표된 마이크로소프트(MS) 위협 보고서 내용이다. 중국계 해킹조직 '스톰-0940'은 3시간도 안 돼 클라우드 관리자급 권한을 손에 넣었다. MS에 다르면, 이들은 AI 침투시험 도구 '아르텍스(ARTEX)'를 활용해 공격을 기계처럼 퍼부었다. 비밀번호를 무작위로 대입하는 공격에서는 분당 최대 2900회 이상의 접속 시도가 포착됐다.

[세종=뉴시스] 배훈식 기자 = 배경훈 부총리 겸 과학기술정보통신부 장관이 PHP 점검과 보안 업데이트를 당부한 22일 오후 세종시 정부세종청사 과기정통부 사이버침해대응과 모습. 정부는 이날 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의' 단계로 격상했다. 2026.10.22. [email protected]

AI가 사이버 공격에 필요한 시간을 줄이고 전문성의 문턱을 낮추고 있다. 취약점 분석부터 실제 침투까지 걸리는 시간이 짧아지면서 방어자가 대응할 시간을 주지 않는다.

보안업계는 AI가 공격 준비 시간을 '일'에서 '분' 단위로 줄이는 초광속 해킹 시대를 예고해왔다. 지난 3월 미국 'RSA 컨퍼런스 2026'에서 나디르 이즈라엘 아미스 공동창업자 겸 최고기술책임자(CTO)는 "과거 해커들이 시스템 허점을 찾아내고 공격 코드를 작성하는 데 일주일이 걸렸다면 이제는 7분이면 충분하다"고 경고했다.

지난 4월 앤트로픽의 '미토스 쇼크' 사태 이후, AI가 오래된 결함을 찾아 공격 무기로 바꾸는 '초고속 해킹'은 이미 차가운 현실이 됐다. 이후 아르텍스를 활용한 금융권 해킹 사건과 PHP 취약점 파문까지 겹치면서 보안업계가 경고했던 속도 경쟁이 현실로 다가왔다.

10년 묵은 보안 구멍 일주일 만에 발견…공격 준비도 '초고속'

[서울=뉴시스] 구글 산하 보안기업 위즈 연구진이 PHP 취약점 'PHP2Shell'을 이용해 워드프레스 기반 시험 서버에서 로그인 없이 명령을 실행한 시연 화면. 하단에 인증 없는 원격 코드 실행에 성공했다는 결과가 표시돼 있다. 2026.10.22. (사진=사기 차디크 위즈 연구원 엑스 캡처) *재판매 및 DB 금지

구글 산하 보안기업 위즈에 따르면 이번 PHP 결함은 10년 넘게 코드 속에 잠자고 있었다. PHP 재단도 2024년 관련 문제의 징후를 포착하고 공격 가능성을 검토했지만 구체적인 공격 경로는 확인하지 못했다. 과거라면 연구진 수십 명이 수개월 동안 매달려야 했을 작업을 AI의 도움을 받아 연구자 단 한 명이 일주일 만에 끝냈다.

박세준 티오리 대표도 이번 PHP 사태에 대해 "공격 가능성을 낮게 봤던 버그를 AI로 다시 분석해 실제로 악용할 수 있다는 점을 입증한 사례"라고 평가했다.

이번 PHP 취약점을 노린 공격 시도는 공식 공개 이전부터 시작됐다. CJ 모지스 아마존 통합보안 최고정보보호책임자(CISO)는 공개 나흘 전인 지난 17일 공격자 관찰용 유인 시스템 '매드팟'에서 PHP 취약점 악용 시도를 관측했다고 밝혔다.

공격 코드가 만들어지는 속도도 빨라졌다. 코젠트 시큐리티가 지난 5월 공개한 취약점 6만9159건 분석한 결과, 결함이 공개된 뒤 실제 작동하는 해킹 코드가 나오기까지 걸린 평균 시간은 지난해 1월 125일에서 올해 0.5일(12시간)으로 급감했다.

AI가 방어용으로 공개된 보안 패치 코드를 역으로 분석해 결함을 공격 무기로 바꾸는 데 악용되기 때문이다. 방어자가 올린 치료약이 해커에게 공격 가이드라인이 되는 셈이다.

실제 공격에 악용되기까지 걸리는 시간도 짧아졌다. 래피드7 보고서에 따르면 고위험 취약점 공개부터 실제 악용까지 평균 3일이 걸렸다. 관측된 악용 사례 71%는 첫 일주일에 집중됐다.

점검할 취약점도 늘고 있다. 구글 위협인텔리전스 그룹(GTIG)에 따르면 월간 취약점 공개 건수는 올해 1월 5045건에서 8월 1만740건으로 두 배 이상 늘었다. 실제 악용된 취약점도 지난해 월평균 10.5건에서 올해 1~8월 월평균 18건으로 증가했다.

구글은 공격자가 AI로 제품 버전과 패치의 차이, 취약점 설명, 공개된 검증용 코드를 분석해 이미 알려진 취약점을 빠르게 무기화할 가능성에 주목했다.

잠들지 않는 AI 공격…여러 기업 한꺼번에 노린다

[서울=뉴시스] 참고용 이미지. 재판매 및 DB 금지 (사진=유토이미지) *재판매 및 DB 금지

AI의 위험성은 여기에 그치지 않는다. AI 에이전트는 야간이나 주말에도 쉬지 않고 수많은 공격 통로를 동시에 정찰하고 침투한다. 공격자 입장에서는 돈과 인력을 거의 들이지 않고도 거대한 공격망을 다룰 수 있게 됐다.

강정민 고려대 인공지능사이버보안학과 교수는 "AI가 취약점 분석, 패치 비교, 익스플로잇 개발과 검증, 공격 대상 탐색에 이르는 과정을 빠르게 지원하고 있다"며 "악용이 어렵다고 여겨졌던 복잡한 취약점까지 현실적인 공격 수단으로 전환될 가능성이 커지고 있다"고 말했다.

이처럼 해킹 속도는 빛의 속도로 빨라진 반면, 기업과 정부의 방어망은 사람의 승인과 정기 점검 절차에 묶여 있다.

이원태 국가AI전략위원회 보안특위원장(전 한국인터넷진흥원장)은 "공격은 기계의 속도로 진행되는데 방어는 사람의 승인과 정기 점검 일정에 묶이는 '시간의 비대칭'이 가장 큰 위협"이라고 강조했다.


◎공감언론 뉴시스 [email protected]