인공지능(AI)이 10년 넘게 소프트웨어 속에 숨어 있던 보안 결함을 일주일 만에 찾아내며 사이버 보안 환경의 변화를 이끌고 있다.
구글 산하 보안기업 위즈는 10년 이상 방치됐던 PHP 결함을 AI 기술로 단 일주일 만에 분석하고 공격 가능성을 입증했다. 종전에는 최고 수준 연구팀이 수개월을 들여야 검증할 수 있던 작업이었다. 아미 루트와크 위즈 공동창업자는 엑스에 “지금까지 AI를 활용해 발견한 취약점 중 가장 심각하다”며 즉각적인 보안 조치를 촉구했다.
인터넷 기반 시설은 과거에도 장기간 숨겨진 결함으로 홍역을 치렀다. 2014년 드러난 '셸쇼크'는 유닉스 계열 운영체제의 명령 처리기 '배시'에 25년 동안 잠자던 취약점이었다. 같은 해 암호화 통신 도구 '오픈SSL'에서 나온 '하트블리드' 결함으로 캐나다 국세청에서는 납세자 900여 명의 사회보험번호가 빠져나갔다. 2021년에는 자바 프로그램 기록 도구인 '로그포제이'에서 발견된 '로그포셸' 탓에 애플과 아마존 등 글로벌 기업들이 긴급 대응에 나섰고, 2023년 국내 에너지 기업 서버가 가상자산 채굴에 악용되기도 했다.
전문가들은 AI가 공격과 방어의 문턱을 동시에 낮추고 있다고 진단한다. 박찬암 스틸리언 대표는 “소스코드는 프로그램의 원리를 기술한 설계도와 같다”며 “AI는 소스코드가 없을 때보다 이를 읽고 분석해 취약점을 수월하게 찾을 수 있다”고 설명했다. 박 대표는 이어 “앞으로 유사한 결함 발굴 사례가 늘어날 것”이라며 “오픈소스의 허점을 지속해서 보완해 나간다면 장기적으로 인터넷 생태계의 안전성이 한층 강화될 수 있다”고 덧붙였다.
반면 취약점 노출 속도가 빨라진 만큼 대응 체계를 서둘러야 한다는 지적도 나온다. 김경곤 런던 레이븐스번대 사이버보안과정 교수는 취약점 발견과 공격 기술 개발에 필요한 시간과 전문성의 장벽이 낮아져 사이버 공격과 방어의 속도가 한층 빨라질 것이라고 전망했다. 전상훈 웨비즘 대표는 “앞으로 치명적 보안 결함 노출은 더욱 빈번해지고, 패치 적용에 걸리는 시간보다 공격 속도가 훨씬 빨라질 것”이라며 “모든 자산의 현황과 버전을 실시간 파악해 피해가 발생하더라도 그 범위를 관리하는 게 우선돼야 할 것”이라고 조언했다.
