전세계 보안업계를 충격에 빠트린 인공지능(AI) 모델 미토스(Mythos)를 개발한 앤트로픽. 로이터 연합뉴스
미국 인공지능(AI) 기업 앤트로픽이 최근 내놓은 차세대 모델 미토스(Mythos)가 ‘인공지능 해커’로 활용될 수 있다는 우려가 커지면서, 사이버 보안 대응 체계 전반을 재점검해야 한다는 목소리가 나오고 있다. 한국 정부는 국가 차원의 사이버 방패 시스템인 ‘인공지능 사이버 쉴드 돔’ 구축을 추진하는 가운데, 전문가들은 인공지능 시대에 압도적으로 짧아진 공격 속도를 고려해 정보보호 대응 프로세스까지 함께 재설계해야 한다고 지적한다.
현재 앤트로픽이 애플·마이크로소프트(MS) 등 일부 빅테크(거대 기술기업)에 미리보기(프리뷰) 형태로 공개한 미토스는 보안성이 높은 오픈소스 운영체제 ‘오픈비에스디’(OpenBSD)에서 27년 동안 발견하지 못했던 소프트웨어 결함을 약 2만달러(한화 약 3천만원)의 컴퓨팅 비용으로 이틀 만에 찾아내 업계에 충격을 안겼다. 이런 특성 탓에 미토스를 취약점 공격 코드 작성에 활용할 수 있다는 우려가 제기되면서 미 백악관과 연방준비제도(Fed) 등이 대응 방안을 논의하는 등 긴장감이 커지고 있다. 과학기술정보통신부도 이와 관련해 14일 통신 3사와 네이버·카카오 등 주요 플랫폼 기업을 소집해 긴급 현안 점검 회의를 진행한 데 이어 15일에는 40개 기업 정보보호최고책임자(CISO) 간담회를 열었다.
업계에선 미토스의 등장이 단순히 ‘취약점을 더 많이 발견하는 수준’을 넘어 사이버 보안 환경 자체를 바꿀 것으로 보고 있다. 숙련도가 낮은 해커도 인공지능을 활용해 고도화된 공격을 시도할 수 있게 됐고, ‘취약점 발견→무기화→공격’까지 걸리는 시간이 수년 단위에서 이제는 시간 단위로 크게 단축됐기 때문이다. 이에 따라 기존 취약점 관리와 리스크 보고 체계로는 인공지능 해커를 감당하기 어려운 구조가 됐다는 분석이 나온다.
이런 변화에 대응하기 위해 과기정통부는 인공지능을 활용해 외부 공격 위협에 대응하고, 해킹 피해를 스스로 복구하는 자가 방어 기술인 ‘인공지능 사이버 쉴드 돔’ 연구 프로젝트를 추진하고 있다. 정보통신기획평가원(IITP)이 수행하는 이 사업에는 앞으로 5년 동안(2027∼2032년) 약 9천억원의 예산이 투입될 예정이다.
그러나 전문가들은 인공지능을 활용한 해킹 공격이 단시간에 이뤄지는 반면, 방어는 취약점을 발견하고 보완 조처까지 시간이 걸리는 만큼 기술 개발 측면으로만 문제에 접근하는 것은 한계가 있다고 지적한다. 최근 미 비영리 사이버 보안 단체인 클라우드 시큐리티 얼라이언스(CSA)는 미토스 대응과 관련해 낸 보고서에서 “기존 해킹 사고 탐지·대응 체계는 인간의 대응 속도를 전제로 설계돼 있어 인공지능 기반 공격자에게 비대칭적인 속도 우위를 허용하고 있다”며 지금껏 해킹 대응에 활용되던 수치와 가정 자체가 더는 현실을 반영하지 못한다고 강조했다.
국내에서도 이런 변화가 기존 제도와 충돌할 가능성이 제기된다. 지난해 주요 기업들의 해킹 사고가 잇따른 뒤 정부는 정보보호 책임 강화를 위해 기업이 정보보호최고책임자를 임원급으로 지정하고, 이사회에 정보보호 현황을 보고하도록 제도를 강화했다. 그러나 인공지능 기반 해킹 공격이 전개될 경우 단계별 보고 절차 등이 오히려 대응 속도를 늦출 수 있다는 우려가 나온다.
김승주 고려대 정보보호대학원 교수는 “정보보호 강화를 위해 도입한 제도가 사이버 보안 패러다임의 변화로 오히려 신속한 대응을 어렵게 만드는 아이러니한 상황이 발생한 것”이라며 “기술적인 대책뿐만이 아니라 기존 대응 프로세스의 재설계도 함께 검토해야 한다”고 말했다.
댓글
0