[서울=뉴시스] 인공지능(AI). (사진=유토이미지)


[서울=뉴시스]윤정민 기자 = #. 어느 날 미국 중앙정보국(CIA) 등 정보당국 수뇌부가 한자리에 모였다. 회의 주제는 정체불명의 초인공지능 '엔티티'. 적국 잠수함을 무력화하기 위한 사이버 무기로 개발된 이 인공지능(AI)은 인간 통제에서 벗어나 스스로 진화하기 시작했다. 적 잠수함 '세바스토폴호' 레이더에 존재하지 않는 적 잠수함을 표시하고 허위 공격 신호를 주입한 뒤 대응 사격으로 발사된 어뢰 경로를 조작했다. 결국 세바스토폴호는 스스로 발사한 어뢰로 침몰한다. 덴링어 국가정보장(DN 백경게임랜드 I)은 이 AI에 대해 단순한 해킹 도구가 아닌 "디지털 진실을 조작하고 현실을 재구성하는 존재"라고 경고했다. 이후 엔티티는 자신의 공격을 저지하려는 특수공작원 '에단 헌트'의 동료 목소리를 딥페이크로 실시간 복제해 함정에 빠뜨렸다. 이어 요원들의 눈앞에 있는 폐쇄회로(CC)TV 화면에서 자신의 대리인들을 삭제해 '디지털 유령'으로 만들었다. 또 전 세계 바다신2 다운로드 국방·금융망에 무단 침투해 정보를 믿을 수 없도록 했다.
2023년 개봉한 영화 '미션 임파서블: 데드 레코닝'의 줄거리 중 일부다. 전 세계 국방망을 주무르던 초인공지능(AI) '엔티티'는 당시만 해도 '과장된 공포'라는 말이 많았다. 그로부터 3년이 지난 오늘, 그 공포는 현실이 됐다. 앤트로픽이 공개한 보안 특화 AI '클로드 미토 바다이야기프로그램 스(이하 미토스)'가 신호탄이다.
지금까지 AI는 보안 전문가를 돕는 '조수'였다. 미토스는 달랐다. 스스로 '공격자'가 된다. 보안 전문가들이 수십년간 찾지 못했던 제로데이 취약점(신규 취약점)을 단숨에 찾아낸다. 그 빈틈을 뚫고 들어갈 '공격용 무기(익스플로잇)'까지 직접 만든다. 여러 개 취약점을 엮어 복잡한 공격 시나리오를 짜기도 오션파라다이스사이트 한다. 수십년간 금융망·국가기간망을 지탱해 왔던 방어벽이 미토스 앞에서 한순간 무용지물이 된다. 전 세계 보안 당국이 충격에 빠진 이유다.
단돈 7만원에 뚫린 '27년 철옹성'…미토스 이어 GPT-5.4 사이까지 등장
"이제는 AI vs AI"…미토스發 '버그마게돈' 오나


릴게임몰메가
[서울=뉴시스]



미토스가 구체적으로 어떤 성능을 보였길래 전 세계가 충격에 빠졌을까. 미토스는 보안이 철저하기로 유명한 오픈소스 운영체제 '오픈BSD'를 분석했다. 그리고 27년간 아무도 몰랐던 결함을 찾아냈다.이 과정에 든 비용은 단돈 50달러(약 7만 4000원). 7만 원 남짓한 돈으로 전 세계 보안업계를 비웃은 셈이다. 유튜브, 넷플릭스 등 전 세계 영상 서비스들의 핵심 엔진인 'FFmpeg' 코덱에서 16년 된 버그를 찾아냈다. 프리BSD 서버를 통째로 장악할 수 있는 공격 코드도 스스로 작성했다. 특히 놀라온 점은 '추론'이다. 사소한 결함 여러 개를 엮어 거대한 방어망을 무너뜨리는 '연쇄 공격 시나리오'를 짠다. 미토스는 크롬 등 주요 웹 브라우저에서 4개의 취약점을 조합해 보안 시스템을 모두 뚫는 시나리오를 완성했다. 보안 특화 AI지만, 반대로 말하면 '자율 해킹 AI'다. 미토스 충격도 가시지 않은 가운데 오픈AI가 지난 14일 공개한 모델 'GPT-5.4 사이버' 역시 업계·학계를 긴장시켰다. 설계도가 없는 소프트웨어도 실행 파일 만으로 내부를 낱낱이 파헤친다. 보이지 않는 곳의 로직을 분석하는 ‘바이너리 역공학’이다. 복잡한 시스템 내부에서 공격 가능한 지점을 정밀하게 선별하는 것은 물론 수백건의 고위험 취약점에 대한 패치 코드까지 제안했다. 이들 AI 모델을 악의적인 해커가 활용할 경우 단 수분 내 취약점 탐지부터 공격 코드 생성까지 전 과정을 자동화할 수 있는 잠재력을 지녔다는 점에서 우려를 키우고 있다. 전문가들은 '미토스 쇼크'를 기점으로 '자율 AI 해킹' 시대가 열렸다고 선언했다. 이제는 해킹도 자율주행처럼 AI가 알아서 하는 시대다.

지현석 국가보안기술연구소(국보연) 연구원은 지난 16일 정보통신망 정보보호 컨퍼런스(NetSec-KR) 기조연설에서 "누구나 쉽게 제로데이 취약점을 찾는 혼돈의 시대가 왔다"며 "화이트해커들조차 '이제 뭐 먹고 살아야 하나' 고민할 정도로 직업적 위기감이 크다"고 현장 분위기를 전했다.
최석우 국보연 실장도 "인간이 대응하는 속도보다 AI가 공격 코드를 생성하는 속도가 압도적으로 빠르다"며 대규모 보안 사고가 일상화되는 '버그마게돈(버그+아마게돈)' 현실화를 경고했다.
최 실장에 따르면 AI가 악성코드를 생성하기 시작하면서 매일 45만건 이상의 신규 변종이 쏟아지고 있다. 이런 상황에서 '미토스' 같은 초강력 AI까지 등장하면 인간 보안 전문가들이 일일이 분석하고 대응하는 것이 물리적으로 불가능해지는 '임계점'을 넘어설 것이라는 게 보안 전문가들의 경고다.
업계 관계자는 "예전에는 해커가 취약점 하나를 찾는데 몇 달이 걸렸지만, AI가 몇십 년 된 취약점을 수분 만에 찾는 시대가 오면 방어자가 패치를 만들기도 전에 공격에 끝나는 상황에 직면하게 될 것"이라고 토로했다.
파괴력이 너무 크다 보니 개발사들은 '통제'에 나섰다. 앤트로픽은 모델을 일반에 공개하지 않고 구글, 마이크로소프트 등과 만든 '프로젝트 글래스윙'을 통해 제한적으로만 활용한다. 오픈AI 역시 신원이 검증된 전문가에게만 문을 열었다.
전문가들은 "인간의 속도로는 AI의 공격을 막을 수 없다"고 강조한다. 최석우 실장은 "AI가 복잡한 알고리즘을 인간보다 더 깊이 이해하고 취약점을 찾아내기 시작했다"며 방어자 역시 AI로 무장해야 한다고 지적했다.
☞공감언론 뉴시스 alpaca@newsis.com