고성능 AI 확산으로 카드·보험·저축은행 등 보안 역량이 상대적으로 취약한 금융사의 사이버 위협 우려가 커지고 있다. 금융당국은 망분리 규제 완화와 AI보안연구소 신설, AI 보안 가이드라인 마련 등 대응 체계 구축에 나섰다. 사진=픽사베이
[THE Biz(더비즈)=박동인 기자] 스스로 취약점을 찾아 공격을 설계하는 고성능 인공지능(AI)이 등장하면서 보안 체력이 약한 카드·저축은행·캐피탈·보험 등이 새로운 사이버 위협에 노출될 수 있다는 우려가 나온다.
이에 금융당국은 망분리 규제 완화와 AI 보안 전담조직 신설, 가이드라인 마련 등 금융권 보안체계 전면 개편에 나섰다.
22일 금융위원회는 권대영 금융위 부위원장 주재로 ‘고성능 AI 관련 금융권 보안위협 대응 간담회’를 열고 ▲고성능 AI 보안위협의 선제적 파악 ▲일정 보안역량을 갖춘 금융사 대상 망분리 규제 완화 ▲금융보안원 내 'AI보안연구소' 신설 ▲중소 금융사·핀테크 대상 'AI보안 지원센터' 운영 ▲6월 중 금융권 AI 보안 가이드라인 마련 등 대응 방향을 공개했다.
당국이 보안체계 개편에 속도를 내는 배경에는 AI 기반 공격이 빠르게 고도화하고 있기 때문이다. 금융보안원이 지난해 말 발간한 ‘AI 레드팀 보고서’에 따르면 국내 금융권 AI 모델은 역할극 같은 단순 우회 문구(1~2세대 공격)는 적절히 막아냈지만, 긴 문맥으로 모델의 판단을 흐리는 인지적 조작이나 지식 데이터베이스를 오염시키는 RAG 공격(3세대), 도구 사용을 조작해 시스템에 직접 피해를 주는 에이전트 공격(4세대) 앞에서는 챗봇이 욕설을 내뱉거나 조작된 뉴스를 사실로 받아들이는 등 무력화되는 한계를 드러냈다.
문제는 이런 위협이 비대면 채널 의존도가 높은 2금융권에 더 크게 다가온다는 점이다. 카드·보험사의 AI 상담봇, 캐피탈·저축은행의 자동화된 여신 프로세스가 표적이 될 경우 파급력이 크기 때문이다. 더욱이 은행권에 비해 보안 인력과 예산이 부족한 2금융권 중·소형사들은 진화하는 공격에 대응할 체력 자체가 부족하다는 지적이 꾸준히 제기돼 왔다.
예컨대 AI 음성 복제 기술은 3초 분량의 샘플만으로 상담원의 목소리와 억양을 재현하는 수준에 이르렀고 발신번호를 금융사 공식 번호로 위장한 ‘딥보이스’ 사기도 확산되고 있다.
이 같은 사고 상당수는 첨단 해킹 기법보다 내부통제 부실과 기본적 보안수칙 미준수에서 비롯된 것으로 지목되고 있다. 금감원도 올해 디지털·IT부문 감독에서 최근 사고 상당수가 기본적인 보안 원칙과 내부 통제가 지켜지지 않은 데서 비롯됐다는 점을 지적한 바 있다. 신기술 대응에 앞서 2금융권의 기초 체력부터 다져야 한다는 목소리가 나오는 이유다.
이번 금융당국 대책의 핵심은 망분리 규제의 단계적 완화다. 우선 전담 정보보호최고책임자(CISO)를 둔 총자산 10조원 이상 49개 금융사가 1년간 한시적으로 AI 기반 취약점 탐지, 보안 SaaS 활용 등을 수행한다.
금융위는 이들이 제출한 테스트 결과를 금융권 전체 표준 마련에 활용하는 선별적 규제 샌드박스 방식으로 운영한다. 나아가 AI·보안 역량이 고도화된 일부 금융사에는 망분리를 사실상 전면 해제해 여신심사·자산관리·내부통제 자동화 등 서비스 전반에 AI를 활용하도록 허용하는 방안도 검토한다.
감독 기조의 전환도 눈에 띈다. 금융위는 적극적 보안패치 면책 방침을 통해 긴급 보안 대응 과정에서 발생한 경미한 전산 장애에 대해서는 소비자 보호와 신속 복구를 전제로 제재 감경 또는 면책을 검토할 예정이다. 장애를 우려해 보안패치를 미루던 관행을 깨고 사후책임 중심에서 예방 중심으로 감독을 조정하겠다는 취지다.
권대영 부위원장은 “고성능 AI 보안위협은 감기 바이러스처럼 완전 차단할 수 있는 대상이 아닌 함께 살아가며 관리해야 하는 위협”이라며 “금융권이 마스크를 쓰듯 AI 방어체계를 일상적 보안 습관으로 정착시켜야 한다”고 밝혔다.
댓글
0