파이브아이즈 “치명적 사이버 공격용 AI 모델 등장 가능성” 경고

미국, 영국, 캐나다, 호주, 뉴질랜드 정보 공유 체계인 파이브 아이즈(Five Eyes) 사이버보안 기관이 AI로 인해 사이버 위험이 급속히 변화하고 있다며 정부와 기업 수장에게 지금 당장 행동에 나서야 한다고 촉구하는 공동성명을 발표했다. 성명에서는 최첨단 AI 모델이 공격과 방어 양측 능력을 크게 바꿀 시기가 수년이 아닌 수개월 이내라고 명시했다.

정부와 기업을 겨냥한 사이버 공격은 AI 붐 이전부터 빈번하게 발생해왔다. 병원 예약 시스템이 마비되거나 기업 내부 네트워크가 암호화되어 업무 이메일과 회계 소프트웨어를 열지 못하는 대규모 피해도 잇따랐다. 이런 사이버 공격은 취약점을 탐색하고 공격용 프로그램을 제작하고 표적 조직에 대한 공격을 실행하는 일련의 과정에 상당한 전문 지식과 시간이 필요했다. 하지만 생성형 AI는 사이버 공격에 필요한 작업을 간소화해 상대적으로 기술 수준이 낮은 공격자도 사이버 공격을 감행할 수 있게 만든다. 파이브 아이즈 성명은 AI가 사이버 방어를 개선하는 한편 위협의 속도·규모·정교함도 함께 높인다고 설명했다.

그 중에서도 문제로 지목된 건 최첨단 AI 모델인 프런티어 AI 모델(Frontier AI Model)이다. AI가 사이버 시스템의 취약점을 찾아내는 능력이 향상되면 방어 측이 수정 사항을 더 빠르게 파악할 수 있다는 이점이 있다. 하지만 공격 측이 동일한 능력을 활용하면 아직 패치되지 않은 약점을 빠르게 찾아 악용할 우려도 있다.

이 같은 상황에서 파이브 아이즈가 요구하는 건 보안 부서에만 대응을 떠넘기는 방식에서의 전환이다. 사이버 공격으로 공장이 멈추거나 고객 정보가 유출되거나 행정 서비스가 중단되는 피해는 기술 부서만의 문제로 끝나지 않는다. 매출, 신뢰도, 거래처, 이용자, 국민 생활과 직결되는 만큼 성명은 사이버 위험을 경영상 리스크이자 리더십의 책임으로 다뤄야 한다고 강조했다.

대책의 출발점으로 제시된 건 특별한 신기술 도입이 아니라 공격 진입로를 줄이는 것이다. 외부에서 접근 가능한 시스템을 필요 최소한으로 제한하고 불필요한 연결을 차단하며 핵심 시스템을 분리하면 공격자가 침입에 활용할 수 있는 경로를 줄일 수 있다. 고도화된 AI 공격이 등장한 뒤 허둥지둥 대응하는 게 아니라 사전에 공격자가 노릴 수 있는 지점을 줄여두는 게 중요하다는 것이다.

다음으로 중요한 건 소프트웨어 업데이트 지연을 최소화하는 것이다. 취약점이 공개된 후 악용되기까지의 시간이 AI로 인해 단축되면 수 주 안에 패치하면 충분하던 시대의 전제는 무너진다. 노후 시스템이나 업데이트가 어려운 업무용 시스템일수록 표적이 되기 쉬운 만큼 성명은 레거시 시스템을 단순한 기술적 부채가 아니라 전략적 부채로 취급해야 한다고 지적했다.

계정 관리도 중요한 대책이다. 누가 핵심 시스템에 접근할 수 있는지, 퇴직자나 이동자 권한이 남아 있지는 않은지, 다단계 인증이 적용되어 있는지를 점검해 침입 이후 피해 확산을 억제할 수 있다. AI로 공격 속도가 빨라질수록 탈취된 계정 하나에서 전사 시스템으로 피해가 번질 위험도 커지기 때문.

아울러 침입을 완전히 차단한다는 전제 대신 침입 이후 신속히 봉쇄할 준비도 요구된다. 인시던트 대응 계획을 수립하는 데 그치지 않고 실제로 훈련하고 담당자 연락망과 복구 절차를 점검해둘 필요가 있다. 성명은 침해는 발생할 수 있는 일이며 사전 준비를 통해 대규모 업무 중단이나 재무적 위기로 번지는 것을 막을 수 있다고 설명했다.

방어 측에서도 AI를 적극 활용할 것을 촉구했다. 취약점 조기 발견, 소프트웨어 품질 개선, 이상 동작 모니터링, 인시던트 대응 가속화 등에 AI를 활용하면 공격자만이 AI의 혜택을 누리는 상황을 피할 수 있다.

파이브 아이즈는 AI로 인해 사이버 위험의 전제 자체가 수개월 단위로 낡아질 수 있다고 경고했다. 정부와 기업이 준비를 미루면 피할 수 있었던 위험이 업무 연속성과 시장 신뢰를 흔드는 사태로 번질 수 있다는 것. 파이브 아이즈 각 기관은 산업계와 벤더를 포함한 리더에게 사람을 보호하고 미래를 안전하게 만들기 위해 지금 당장 함께 행동에 나설 것을 촉구했다. 관련 내용은 이곳에서 확인할 수 있다.