AI가 해킹의 속도를 바꿨다…인터넷 보안, ‘사람 대 사람’ 시대 끝나나

🤖 AI 해킹의 핵심은 천재성보다 속도

CrowdStrike가 최근 분석한 네 개의 해킹 그룹은 클로드와 DeepSeek 등 여러 AI 모델을 조합해 공격을 자동화하고 있었습니다. 일부 그룹은 AI가 정찰과 취약점 탐색을 맡고, 다른 에이전트가 실제 공격을 수행하도록 역할까지 나눴습니다.

CrowdStrike는 공격자들이 비교적 오래된 모델을 주로 활용했고, 많은 경우 이미 존재하던 보안 취약점과 허술한 계정 관리 등을 노렸다고 설명했습니다. AI의 강점은 새로운 공격 기법보다 수천 개의 대상에 같은 작업을 끊임없이 반복하고, 인간이라면 지나칠 만한 지점을 계속 탐색할 수 있다는 데 있었습니다.

마이크로소프트가 확인한 중국계 공격 그룹은 AI 에이전트 군집을 이용해 2,250개 이상의 조직을 상대로 분당 약 2,900회의 로그인 시도를 수행한 것으로 전해졌습니다.

🔓 AI 안전장치도 완벽한 방어선은 아니다

상용 AI 기업들은 해킹이나 악성코드 제작을 막기 위한 안전장치를 적용하고 있으나, 공격자들은 이를 우회하는 방법을 찾고 있습니다. CrowdStrike가 추적한 네 그룹은 모두 자신의 작업을 정상적인 침투 테스트나 보안 점검이라고 설명하거나 승인된 작업처럼 보이도록 파일과 프롬프트를 구성해 보안 제한을 피해갔습니다. 일부는 클로드 코드의 시스템 지침 자체를 무력화하려는 별도의 도구까지 활용했습니다.

또 공격자들은 추론이나 계획이 필요한 단계에는 성능이 높은 폐쇄형 모델을 쓰고, 반복적인 공격에는 저렴한 오픈웨이트 모델을 투입하는 식으로 비용과 성능을 조절해 모델을 선택했습니다.

이는 방어자들도 안전한 모델 하나를 만드는 것만으로 공격을 전면 차단하기가 점점 어려워진다는 의미이기도 합니다. 여러 모델을 조합하고, 가장 느슨한 안전장치를 가진 모델을 골라 쓰는 방식이 현실화되고 있기 때문입니다.

🧨 AI가 드러내는 건 원래 취약했던 인터넷

최근 보안업계가 더 크게 우려하는 지점은 AI 자체보다 기존 인터넷 인프라입니다. AI가 사람이 수개월 걸려 살펴보던 코드를 짧은 시간 안에 검토하고 수많은 소프트웨어와 서버를 동시에 테스트하게 된 결과, 오래된 프로그램과 관리되지 않은 서버, 업데이트가 중단된 시스템에 숨어 있던 문제들이 한꺼번에 드러나기 시작한 것입니다.

PHP 취약점 ‘PHP2Shell’이 대표적입니다. 해당 취약점이 공개되기 전부터 공격 시도가 감지됐고, 공개 직후에는 Cloudflare 네트워크에서 공격 건수가 몇 시간 만에 수천 건에서 수백만 건 수준으로 급증했습니다.

다만 지금까지 PHP2Shell이 인터넷 전반에 대규모 피해를 일으킨 것은 아닙니다. 실제 작동하지 않는 AI 생성 공격 코드도 다수 유통됐고, 전문가들은 해당 취약점이 Log4j나 Heartbleed처럼 즉각 광범위한 피해를 낳을 정도인지는 아직 불확실하다고 지적합니다.

🛡 공격도 빨라지고, 방어도 빨라진다

AI가 공격자에게만 유리한 것은 아닙니다. 보안 연구자 역시 AI를 활용해 취약점을 더 빠르게 찾고 패치를 개발할 수 있습니다. 오픈AI는 PHP 취약점을 발견한 뒤 관련 기관과 업체가 대응할 수 있는 시간을 확보하는 ‘Defender’s Window’를 만들었다고 설명했습니다.

문제는 한 연구자가 AI로 취약점을 발견하면 다른 연구자나 공격자도 비슷한 도구를 이용해 같은 결함을 찾아낼 가능성이 커진다는 것입니다. 취약점 공개와 실제 공격 사이의 시간도 함께 줄어드는 셈입니다.

결국 AI가 바꾸는 것은 해킹의 종류보다 속도와 규모, 비용 구조에 가깝습니다. 앞으로 기업의 사이버보안 경쟁력도 얼마나 뛰어난 방어 기술을 갖고 있느냐뿐 아니라, 새로운 취약점이 발견됐을 때 얼마나 빠르게 패치하고 오래된 시스템을 정리할 수 있느냐에 더 크게 좌우될 가능성이 높습니다.

AI Is Changing Everything About Hacking. No One Knows What Happens Next

‘Black October:’ The PHP vulnerabilities and a series of other hacks and bugs have cybersecurity experts freaking out and unsure what happens next.

404 MediaJason Koebler