■ What - 앤스로픽 공개 ‘보안특화 AI 모델’ 파장
27년간 잠복해온 ‘버그’ 발견 등
미공표된 취약점 쉽게 찾아내고
해킹공격 코드까지 만들어 위협
美 NSA·英 중앙은행 긴급 점검
韓정부도 기업 40곳과 현안회의
각국 사이버보안 대비태세 유지
앤스로픽이 차세대 인공지능(AI) 모델 ‘클로드 미토스’를 선공개하면서 전 세계의 정부와 금융계, 산업계 등에 파문을 일으키고 있다. 애초 보안 특화 AI 모델로 개발됐지만, 유례없는 성능과 속도로 보안 취약점을 탐지하는 것을 넘어 공격 코드까지 스스로 만들어낼 수 있는 것으로 알려지며 인류를 위협하는 ‘새로운 핵무기’로까지 거론되는 등 위기감이 고조되고 있다.
22일 관련 업계에 따르면, 앤스로픽은 지난 8일 ‘프리뷰’ 형태로 차세대 보안 특화 AI 모델인 미토스를 공개했다. 미토스는 ‘제로데이 취약점’(아직 공표되지 않거나 조치 방안이 마련되지 않은 보안 취약점)을 스스로 손쉽게 찾아내고, 침투 경로까지 만들어낼 수 있어 자율화된 해킹 도구로 삼을 수 있다는 점이 가장 큰 문제점으로 지적되고 있다. 해킹 전문가가 아니어도 미토스를 활용하면 시스템에 침투할 수 있어 손쉽게 악용될 수 있다는 것이다. 앤스로픽에 따르면, 미토스를 가상의 격리 공간(샌드박스)에 가두자 스스로 탈출했을 뿐 아니라 연구원에게 이메일을 보내거나 외부에 노출된 웹사이트에 자신이 탈출할 때 사용한 방법을 상세히 게시하는 등 인간의 통제를 벗어난 모습을 보인 것으로 알려져 충격을 낳았다.
이미 미토스는 최근 주요 운영체제(OS)나 웹 브라우저 등에서 수천 건의 ‘제로데이 취약점’을 발견한 것으로 알려졌다. 탐지된 취약점 가운데 심각도가 높거나 발견이 까다로워 수십 년간 잠재돼 있던 사례도 상당수 포함됐다고 한다. 보안성이 높은 OS로 꼽히는 오픈 BSD에서 27년간 잠복해 온 버그를 찾아내기도 했다. 미토스의 위험성을 두고 논란이 커지자 앤스로픽은 미토스를 일부 기업과 정부 관계자에게만 제한적으로 제공하며 방어 중심의 보안 연구를 수행하고 있다. 앤스로픽은 미토스 프리뷰를 기반으로 글로벌 빅테크 기업들과 공동으로 취약점을 해결하기 위한 협력체로 ‘프로젝트 글래스윙’ 출범을 발표했는데, 운영 결과 보고서를 오는 7월 초쯤 공개할 것으로 예상된다.
미토스가 기존 보안 체계를 뛰어넘는 수준의 취약점 탐지 능력을 보인 것으로 알려지자 미국과 캐나다, 영국 등은 물론 우리나라 정부도 보안 점검 및 대응에 나섰다. 미국 백악관은 션 케언크로스 국가사이버국장을 중심으로 정부 시스템을 AI 공격으로부터 보호하기 위한 전담팀을 구성하기로 했다. 앞서 스콧 베선트 재무장관과 제롬 파월 연방준비제도(Fed) 의장은 주요 은행 최고경영자들과 만나 미토스의 사이버 위험을 논의하기도 했다. 앞서 미국 국방부는 AI 모델을 ‘모든 합법적 사용’에 허용하지 않았다는 점 등을 문제 삼아 앤스로픽을 ‘공급망 위험 기업’으로 지정하는 등 갈등을 빚어왔는데, 이런 와중에 국가안보국(NSA)은 미토스 프리뷰를 사용하고 있는 것으로 알려지며 주목받기도 했다. 영국은 중앙은행인 영란은행(BOE)과 금융감독청(FCA), 국가사이버보안센터(NCSC)가 함께 공동으로 점검에 착수했다.
우리 정부와 기업은 ‘미토스 충격’에 대응하기 위해 속도를 내고 있다. 과학기술정보통신부는 지난 15일 국내 주요 정보보호 기업 간담회와 주요 기업 40개사 정보보호최고책임자(CISO) 간담회를 연이어 개최했다. 이에 앞서 14일에는 이동통신 3사(SK텔레콤·KT·LG유플러스)와 네이버, 카카오, 쿠팡, 우아한형제들 등 주요 플랫폼사의 CISO, AI 보안 전문가들과 릴레이 현안 점검 회의를 진행했다. 국가인공지능전략위원회도 지난 16일 보안특위 1차 정례회의를 열고 미토스 관련 동향과 금융 분야 설치형 보안 소프트웨어의 단계적 철폐 계획을 함께 논의했다.
기존 보안 대응 체계 변화의 필요성도 언급되고 있다. 배경훈 부총리 겸 과학기술정보통신부 장관은 같은 날 과학기술관계장관회의에서 “보안 수준이 향상될 수 있다는 기대감과 함께 수십 년간 안전하다고 믿어왔던 보안 체계가 손쉽게 무력화될 수 있어, 기존 체계 전환이 불가피하다”며 “정부는 이러한 상황을 엄중하게 인식하고 부처 간 긴밀한 협력을 통해 흔들림 없는 사이버 보안 대비 태세를 유지하겠다”고 밝혔다.
우려가 커지는 가운데 일각에선 미토스의 기술적 성과에 대한 외부 검증이 제한적이라는 점에서 ‘공포’가 과장됐다는 신중론도 제기된다. 이러한 주장은 미토스가 ‘프로젝트 글래스윙’을 통해 제한적으로 제공되고 있어 아직 성능에 대한 검증이 제대로 이뤄지지 않았다는 점을 근거로 들고 있다. 또 앤스로픽이 기업 홍보를 위해 미토스의 성능을 과장하고 있다는 주장도 있다. 백악관 AI 및 가상화폐 특보를 지낸 데이비드 색스는 자신의 SNS에 “앤스로픽은 사람들을 겁주는 데 아주 능숙하다”며 “새 모델을 내놓을 때마다 최악의 시나리오를 퍼뜨려 규제를 유도하려는 수법”이라고 비판했다.
반면 전문가들은 다른 AI 기업들도 조만간 미토스와 비슷한 성능을 갖춘 다른 모델을 내놓을 수 있다고 관측하면서, 사이버 보안 공격의 자동화·고도화를 촉진해 보안 위협으로 이어질 거란 전망이 제기되고 있다.
댓글
0