AI 도구 손에 쥔 해커, 금융권 고객 정보 유출 위기
최근 국내 금융권에서 발생한 해킹 사건의 배후에는 인공지능(AI)이라는 새로운 무기가 자리 잡고 있는 것으로 드러났다. 이번 공격으로 인해 일부 고객 정보가 외부로 유출되는 피해가 발생했다. 미국 보안업체의 분석 결과에 따르면, 공격자는 '아텍스(ARTEX)'라는 AI 기반의 보안점검 도구를 여러 AI 모델과 연동하여 활용한 정황이 포착되었다. 다만 개별 금융기관이 구체적으로 어떤 경로를 통해 침입을 허용했는지, 그리고 AI가 공격 과정에서 구체적으로 어떤 역할을 수행했는지에 대해서는 추가적인 확인 작업이 진행 중이다.
과거의 해커들은 직접 정보를 수집하고 프로그램을 제작하며, 실패할 경우 스스로 수동적인 방식을 수정해야 하는 번거로움을 겪었다. 하지만 이제는 AI를 통해 반복적인 작업을 자동화할 수 있게 되었다. 공격 대상의 접속 지점을 탐색하고, 보안 약점을 테스트하며, 그 결과를 분석해 다시 시도하는 전 과정을 AI가 수행한다. 인간은 공격 목표를 설정하는 데 집중하고 AI가 나머지 과정을 자동화하면서, 해킹에 드는 비용은 낮아지고 공격 속도는 비약적으로 빨라졌다. 결과적으로 해킹의 진입 장벽이 낮아진 것이다. 이러한 변화를 이해하기 위해서는 세 가지 기술적 흐름을 짚어봐야 한다.
에이전트 AI와 공개 도구가 가져온 공격의 자동화
첫 번째 변화는 '에이전트(agent·대행자) AI'의 출현이다. 단순히 질문에 답하거나 정보를 설명하는 대화형 AI와 달리, 에이전트 AI는 부여된 목표를 달성하기 위해 필요한 도구를 스스로 선택하고 다단계 업무를 실행한다. 예를 들어 대화형 AI가 제주행 항공편 시간표를 알려주는 수준에 머문다면, 에이전트는 사용자의 일정에 맞춰 항공권을 검색하고 조건을 비교한 뒤 예약 절차까지 완수한다. 해킹 분야에서도 여러 에이전트가 협력하여 고객 접속망의 취약점을 살피고, 실패 시 다른 경로를 즉각 시험하는 자동화된 공격이 가능하다. 이는 마치 과거의 도둑이 혼자서 집을 살피던 방식에서 벗어나, 여러 도구가 각기 다른 출입구를 동시에 점검하는 체계로 진화한 것과 같다.
두 번째는 누구나 활용할 수 있는 공개 AI 모델과 자동화 도구의 확산이다. 이번 사건에서 언급된 아텍스는 AI 모델 자체가 아니라 보안 점검을 자동화하는 도구로, 누구나 내려받아 실행할 수 있는 형태다. 이러한 공개 기술은 보안 전문가의 방어 역량을 높여주기도 하지만, 범죄자들에게도 강력한 연구 도구를 제공하며 양날의 검이 된다. 세 번째는 공격과 방어의 기술적 유사성이다. 보안 담당자가 취약점을 찾아 보완하는 과정과 해커가 침입 경로를 찾는 과정은 기술적으로 매우 닮아 있다. 특히 은행의 보안 시스템은 AI가 받은 구체적인 명령 내용을 파악하기 어렵기 때문에, 접속 기록이나 프로그램 실행과 같은 행동 흔적에 의존해 방어할 수밖에 없는 한계가 있다.
금융권의 '제로 트러스트' 도입과 사회적 책임
결국 AI가 자율적으로 은행을 공격한 것이 아니라, 사람이 범죄를 목적으로 AI를 도구로 활용한 것이다. 따라서 책임은 범죄를 지시한 인간에게 있으며, 동시에 AI 개발사와 금융기관이 안전을 위해 어떤 조치를 취했는지도 규명되어야 한다. 이에 대한 대응책으로 첫째, AI 서비스 기업은 제품 출시 전 위험성을 충분히 검증하고 이상 징후에 즉각 대응하는 것을 기본 원칙으로 삼아야 한다. AI가 외부 프로그램을 실행하거나 대량의 정보를 이동시킬 때는 권한을 엄격히 제한하고, 중요 결정은 반드시 사람의 확인을 거치도록 설계해야 한다.
둘째, 은행은 '제로 트러스트(Zero Trust)' 원칙에 기반해 방어 체계를 재설계해야 한다. 기존의 일차 방어벽에 안주하지 말고, 내부 시스템을 구역별로 분리하며 직원과 협력업체에게도 최소한의 정보만 허용해야 한다. 외부 연결 지점에서의 철저한 검증은 물론, 정상 계정이라도 비정상적인 정보 조회가 발생하면 즉시 차단하는 체계가 필요하다. 또한 공격자의 AI에 맞서 방어용 AI를 적극 도입해 방대한 기록 속에서 수상한 움직임을 빠르게 포착하고, 피해 확산을 막는 복구 능력까지 갖춰야 한다.
마지막으로 정부의 역할이 중요하다. 국경을 넘나드는 해커에 대응하기 위해 금융당국, 수사기관, 기업 간의 신속한 정보 공유 체계를 구축하고 국제적 협력을 강화해야 한다. 기술의 발전을 막을 수는 없지만, 자동차의 등장 이후 신호등과 안전띠가 만들어졌듯 AI 역시 지혜로운 규제와 준비가 필요하다. AI라는 창이 쉬지 않고 약점을 찾아다닌다면, 방패 역시 AI의 속도에 맞춰 진화해야 한다. 기술의 변화보다 더 시급한 것은 그 기술을 다루는 인간의 준비 자세다.