AI 기반 사이버공격, 3~5개월 내 ‘일상화’ 가능성…보안업계 긴급 경고

연구 결과에 따르면 이 모델들은 다음과 같은 보안 관련 작업에서 매우 높은 능력을 보였다.

• 대규모 코드베이스에서 취약점 자동 탐지
• 취약점 간 연결을 분석해 공격 체인 설계
• 익스플로잇 프로토타입 코드 생성

일부 모델은 이런 기능 때문에 공개 사용이 제한되거나 통제된 환경에서 평가되고 있으며, 이는 방어 측이 취약점을 먼저 수정할 시간을 확보하기 위한 조치라고 보안 연구자들은 설명한다.

팔로알토 네트웍스의 결론은 단순하다. 앞으로 몇 달은 장기 전략을 논의할 시기가 아니라 방어를 강화해야 하는 긴급 대응 기간이라는 것이다.

구글 보고서: 이미 시작된 변화

구글 위협 인텔리전스 그룹(GTIG)의 분석은 이러한 경고가 과장이 아니라는 점을 보여준다.

GTIG는 최근 보고서에서 생성형 AI가 공격자의 실제 작업 흐름에 점점 더 깊이 통합되고 있다고 밝혔다. 초기 실험 단계에서 벗어나 **산업 규모의 활용 단계로 이동하고 있는 ‘성숙한 전환(maturing transition)’**이 관찰된다는 것이다.

공격자들은 AI를 다음과 같은 단계에 활용하고 있다.

• 공격 대상 정찰(reconnaissance)
• 취약점 탐색
• 악성코드 개발
• 초기 침투 시도

또한 구글 연구진은 AI를 활용해 개발된 것으로 보이는 제로데이 익스플로잇 사례를 처음으로 확인했다고 밝혔다.

이 공격 코드는 오픈소스 웹 기반 시스템 관리 도구의 2단계 인증(2FA)을 우회하는 취약점을 노린 파이썬 기반 익스플로잇이었다. 공격자들은 대규모 공격에 활용하려 했지만 실제 확산 전에 발견되어 차단됐다.

보고서는 이러한 AI 활용이 사이버 범죄 조직뿐 아니라 국가 지원 해커 그룹에서도 관찰되고 있다고 지적한다.

최신 AI 모델이 바꾸는 ‘공격 속도’

이번 변화의 핵심은 단순히 공격자가 AI를 사용할 수 있다는 사실이 아니다. 사이버 공격의 속도와 규모가 급격히 압축되고 있다는 점이다.

영국 AI Security Institute의 평가에 따르면 Anthropic의 Claude Mythos Preview 모델은 기업 네트워크 침투 시뮬레이션을 처음으로 끝까지 수행한 AI 모델로 확인됐다. 연구진은 이 작업이 사람에게는 약 20시간 정도 걸릴 작업이라고 추정한다.

또한 초기 평가에서 OpenAI의 GPT‑5.5 계열 모델도 비슷한 수준의 사이버 보안 작업 능력을 보여, 이러한 능력이 특정 회사의 모델에만 국한되지 않을 가능성이 제기되고 있다.

실제로 AI는 다음과 같은 작업을 빠르게 수행할 수 있다.

• 대규모 소스코드에서 취약점 스캔
• 여러 취약점을 연결해 공격 경로 분석
• 익스플로잇 테스트 코드 작성
• 공격 전략을 반복적으로 개선

그 결과, 기존에는 며칠 걸리던 공격 준비 과정이 기계 속도로 진행되는 방향으로 변화하고 있다.

다만 현재까지의 증거는 완전히 자율적인 AI 공격 캠페인이 일반화됐다는 것을 의미하지는 않는다. 현재 단계는 인간 해커와 AI 도구가 결합된 과도기적 형태로 분석된다.

기업이 지금 당장 해야 할 대응

보안 전문가들은 남은 시간이 짧기 때문에 조직들이 공격 표면을 줄이고 탐지 능력을 강화해야 한다고 강조한다.

우선 외부에 노출된 시스템을 정확히 파악하는 것이 중요하다. 인터넷에 공개된 서비스, 오래된 소프트웨어, 관리 인터페이스, 취약한 오픈소스 의존성 등을 목록화하고 위험도 기준으로 패치를 우선 적용해야 한다.

또한 기업 스스로 AI 기반 취약점 탐지 도구와 자동화 테스트를 활용해 내부 보안 점검을 가속화할 필요가 있다.

신원 인증 체계 강화도 핵심 과제다. 피싱에 강한 다중요소 인증(MFA)을 적용하고, 불필요한 계정과 과도한 권한을 제거하며 서비스 계정 활동을 지속적으로 모니터링해야 한다.

마지막으로 공격 속도가 빨라지는 만큼 탐지와 대응 속도도 함께 높여야 한다. 중앙 로그 수집, 행동 기반 탐지, 비정상적인 코드 실행이나 권한 오용 탐지 체계를 강화하고 신속한 대응 절차를 마련해야 한다.

결론

AI는 이미 사이버 보안 환경을 바꾸기 시작했다. 최신 모델들은 취약점 발견과 익스플로잇 개발을 자동화할 수 있는 수준에 접근하고 있으며, 실제 공격자들도 이러한 기술을 실전에 적용하기 시작했다.

정확한 시점은 불확실하지만 방향은 분명하다. 보안 업계가 말하는 **‘3~5개월의 대응 창’**은 기업들에게 사실상 마지막 준비 기간일 수 있다. 지금 방어 체계를 강화하는 조직과 그렇지 않은 조직 사이의 격차는 앞으로 몇 년간 사이버 보안 결과를 크게 좌우할 가능성이 크다.