무료 AI 챗봇으로 은행 9곳 뚫렸다…보안 업계가 마주한 '청구서'

최근 한국에서 최소 9개 주요 은행이 사이버 공격을 받아 수만 명에 달하는 한국인의 금융 데이터가 온라인에 노출됐다. 크라우드스트라이크가 공개한 조사 내용에 따르면 배후로 지목된 인물은 중국 남부에 거주하는 26세 남성이다. 온라인에 남긴 흔적과 자신의 시스템을 제대로 관리하지 못한 점이 겹치면서 이름과 나이, 거주지, 범행 수법까지 드러났다. 아시아에서 손꼽히 수준 높은 금융기관들을 상대로 벌어진 이 공격의 주체가 사실상 아마추어였다는 뜻이다. 크라우드스트라이크 조사는 값비싼 장비나 조직적인 공격 팀 없이 챗봇 몇 개로 대형 금융기관을 무너뜨릴 수 있다는 사실을 보여줬다.

동원된 도구는 AI 챗봇이었다. 이 남성은 앤트로픽의 클로드에 접근할 수 있었지만 해당 모델이 불법 행위 요청을 대체로 거부하자 딥시크를 비롯한 무료 중국 모델을 함께 활용했다. 크라우드스트라이크의 애덤 마이어스 선임 부사장은 모델들이 서로 대체 가능한 수준이라고 설명했고, 특정 서비스가 막아도 다른 모델로 갈아타면 그만이라는 의미다. 나아가 이 인물은 훔친 데이터를 온라인에서 팔아넘기는 일과 보안 역량을 내세운 가짜 이력서를 쓰는 작업까지 챗봇에 맡겼다.

달라진 점은 공격 준비의 문턱이 낮아졌다는 것이다. 몇 년 전만 해도 숙련된 공격자만 다룰 수 있었던 프레임워크를 이제는 일반인이 그대로 가져다 쓸 수 있게 됐다. 크라우드스트라이크는 글로벌 위협 보고서에서 공격자가 네트워크 내부에 침투한 뒤 확산하는 속도가 빨라졌다고 분석했다. 숙련된 해커와 초보가 똑같이 AI의 도움을 받으면서 공격의 하한선이 크게 올라간 결과이며, 마이어스 부사장은 이제 누구나 슈퍼 해커가 될 수 있는 상황이라고 표현한다.

방어 쪽에서는 새 모델이 나올 때마다 기존 코드베이스를 다시 스캔하고 테스트와 패치 배포까지 자동화해야 한다는 요구가 커지고 있다. 보안 스캔을 릴리스 파이프라인의 고정 단계로 넣고 결과를 추적할 수 있어야 한다는 얘기다. 다만 LLM 기반 취약점 탐지가 아직 만능은 아니어서 오탐 비율이 높고, 어떤 경고가 오탐인지 확인하는 작업은 자동화로 검증하기 어렵다. 모델마다 잘 찾아내는 나쁜 패턴이 다르고 멀쩡한 코드를 문제로 지적하는 경우도 잦지만, 충분한 토큰을 투입해 반복적으로 돌리면 쓸 만한 발견이 나온다는 경험담이 공유된다. 도구의 한계를 인지한 채 코드 리뷰 보조 수단으로 배치하는 접근이 현실적이다.

배경에는 모델 성능의 급격한 향상과 무료 배포가 있다. 모델 자체의 보안도 별개의 문제로 떠올랐다. 보안 스타트업 캐시드럴의 연구진은 앤트로픽의 보안을 시험하다가 내부 메시지와 회의록에 접근할 수 있다는 점을 발견해 제보했고, 앤트로픽은 해당 문제를 해결했다고 밝혔다. 방어자 입장에서는 공격 도구로 쓰이는 모델과 자사 보안을 검증하는 도구로 쓰이는 모델이 동시에 신뢰 대상이어야 한다는 부담이 생긴다. 보안 전문가들은 현재 어떤 해커도 AI 도구 사용을 포기할 가능성이 낮다고 본다.

공격 사이클이 짧아진 것도 지금 이 사안이 대두된 배경이다. 취약점이 알려지고 익스플로잇이 나오기까지의 간격이 줄면 분기 단위로 돌아가던 패치 일정은 성립하지 않는다. 전문가들은 AI 도구가 소프트웨어 결함을 찾아내고 익스플로잇하는 데 더 널리 배포되고 이해될수록 보안 정산이 더 강해질 것으로 본다. 보안 기업 호라이즌3의 스네할 안타니 대표는 에너지와 상수도 같은 핵심 인프라에 대해 즉시 전면적인 익스플로잇 점검이 필요하다고 말한다. 민간 기업만으로는 비용을 감당하기 어려운 만큼 정부가 개선 비용을 지원하고 사고 대응을 앞당길 민관 협력 체계를 만들어야 한다는 주장이다.

이번 사건에서 챗봇은 한 번에 완성된 공격 도구라기보다 공격 과정 곳곳을 메우는 보조 도구로 쓰인 것으로 조사됐다. 크라우드스트라이크는 공격이 몇 개의 AI 챗봇 도움으로 시작됐고, 이후 훔친 데이터를 온라인에서 팔거나 보안 역량을 내세운 가짜 이력서를 작성하는 일에도 챗봇이 동원됐다고 밝혔다. 조건은 단순하다. 한 모델이 불법 행위 요청을 거부하면 다른 무료 모델로 옮겨가면 된다. 조사에서는 앤트로픽의 클로드가 대체로 거부하자 딥시크를 포함한 무료 중국 모델이 함께 쓰였고, 모델 간 대체 가능성이 확인됐다.

비용 부담이 낮다는 점은 공격 준비의 성격을 바꾼다. 접근 가능한 모델을 여러 개 조합해 필요한 작업을 나눠 맡길 수 있으면, 공격자는 하나의 모델 제공자나 숙련된 팀에 의존하지 않아도 된다. 이번 조사에서도 거부 반응이 적은 모델과 허용 범위가 다른 모델을 섞어 쓰는 방식으로 제약을 우회한 정황이 드러났다. 이 때문에 방어자는 특정 모델의 거부 정책만으로 공격을 차단하기 어렵다는 조건을 감수해야 한다.

업계에서는 모델 제공자의 안전장치가 곧 방어선이라는 전제가 흔들린다. 공격자가 거부 정책을 피해 다른 모델로 옮겨가는 구조에서는 한 제공자의 정책이 전체 생태계의 차단 효과를 보장하지 못한다. 보안 기업은 침해 조사와 별도로 공격에 동원된 모델의 행동을 분석하고, 자사가 쓰는 모델의 보안까지 검증해야 하는 경쟁 압력을 받는다. 캐시드럴이 앤트로픽의 보안을 시험하다 내부 메시지와 회의록 접근 문제를 찾아 제보한 사례는 그 압력을 보여준다.

민간 기업의 대응만으로는 비용과 범위를 감당하기 어렵다는 지적도 업계의 경쟁 지형을 바꾼다. 호라이즌3의 스네할 안타니 대표는 에너지와 상수도 같은 핵심 인프라를 즉시 전면 점검해야 한다고 말하고, 정부가 개선 비용을 지원하거나 사고 대응을 앞당길 민관 협력 체계를 만들어야 한다고 주장한다. 이는 보안을 개별 기업의 제품 경쟁만으로 풀 수 없다는 뜻이며, 조사·탐지·패치·대응을 나눠 맡는 생태계의 필요성을 키운다. AI 도구가 널리 배포될수록 어떤 조직이 먼저 점검 역량을 갖추느냐가 업계의 비교 기준이 된다.

다만 원문에서 확인되지 않는 부분도 분명히 남는다. 배후로 지목된 인물이 실제로 어떤 취약점을 어떤 모델로 찾았는지, 공격의 어느 단계까지 AI가 관여했는지는 구체적으로 입증되지 않았다. 침해 은행의 전체 명단과 피해 규모, 유출 데이터의 실제 판매 여부, 가짜 이력서가 실제 채용에 쓰였는지도 원문에는 확인되지 않는다. LLM 기반 탐지가 모든 취약점을 찾는다는 보장도 없고, 오탐을 사람이 확인해야 하는 한계는 그대로 남는다. AI가 공격의 하한선을 높였다는 평가와 별개로, 이번 사건만으로 AI가 대형 침해의 단독 원인이라고 단정하기는 어렵다.

독자는 우선 해당 금융기관의 공식 공지와 침해 범위 안내를 확인하고, 자신의 정보가 노출 대상에 포함됐는지, 어떤 종류의 데이터가 문제가 됐는지 구분해 봐야 한다. 보안 담당자라면 새 모델이 나올 때마다 코드베이스를 다시 스캔하는 절차와 패치 배포 추적이 실제로 작동하는지, 출시 절차에 보안 검사가 반복 가능한 단계로 들어가 있는지 확인할 필요가 있다. 조직 차원에서는 핵심 인프라 점검 비용과 사고 대응 체계를 누가 맡는지, 민관 협력 논의가 구체적인 지원으로 이어지는지도 살펴야 한다. 마지막으로 조사 결과와 확정 사실을 구분하고, 추가 발표가 나오면 피해 규모와 원인 설명이 어떻게 달라지는지 추적하는 것이 현실적이다.

지금 당장 확인할 것은 은행의 공식 안내와 자신의 노출 여부다. 침해 사실이 확인된 기관이라면 어떤 데이터가 대상이었는지, 추가 안내가 나왔는지 대조해야 한다. 개발 조직은 현재 사용하는 모델로 코드베이스를 스캔해 경고를 모으고, 그중 사람이 확인해야 할 목록을 따로 만드는 시험을 해볼 수 있다. 새 모델이 배포될 때 기존 코드를 다시 검사하는 절차가 실제로 작동하는지, 테스트와 패치 배포 결과가 추적되는지도 점검 대상이다. 보안 검사를 출시 파이프라인의 고정 단계로 두는지 확인하는 일도 여기에 포함된다.

반복 스캔은 토큰과 시간을 잡아먹고, 오탐을 사람이 걸러야 하므로 인력 부담이 생긴다. 모델마다 잘 찾는 패턴이 달라 여러 모델을 돌리면 비용이 더 늘어난다. 패치 주기를 짧게 가져가려면 릴리스 일정과 테스트 자동화를 다시 짜야 하고, 핵심 인프라는 민간 기업만으로 점검·개선 비용을 감당하기 어렵다는 지적이 나온다. 정부 지원과 민관 협력이 논의되는 이유도 여기에 있다.

원문 댓글에서는 LLM이 모든 취약점을 찾지는 못하며 국가 배후 백도어 같은 것은 남는다는 반론이 나온다. 테스트를 강화해도 공격자가 조금 다르게 시험하면 방어자가 못 찾은 취약점을 찾을 수 있고, 결국 견고한 보안 설계와 숙련된 엔지니어가 필요하다는 주장이다. 오탐 비율이 높고 오탐 검증을 자동화하기 어렵다는 점도 도구만으로 해결하기 어려운 한계로 제시된다.

원문 기준으로 모델별 역할 분담, 은행별 침해 경로, AI 탐지가 실제로 잡아낸 취약점의 종류는 확인되지 않는다. 훔친 데이터의 판매 성사 여부, 가짜 이력서가 실제 채용에 쓰였는지, 정부 지원이 구체적으로 어떤 형태인지도 확정되지 않았다. 캐시드럴이 찾은 문제의 영향 범위와 앤트로픽의 조치가 어디까지였는지도 원문에는 간략히만 나온다. AI가 공격 하한선을 높였다는 평가와 별개로 이번 사건만으로 AI를 단독 원인으로 단정할 수는 없다.

앞으로는 새 모델이 나올 때 조직이 기존 코드를 다시 스캔하고 패치를 배포하는지, 그 결과가 공개되는지가 신호가 된다. 한국 금융권 조사와 크라우드스트라이크의 추가 발표에서 피해 규모와 공격 단계가 어떻게 정리되는지도 지켜볼 부분이다. 모델 제공자들이 거부 정책과 자사 보안 문제를 어떻게 보완하는지, 에너지·상수도 같은 핵심 인프라 점검과 민관 협력이 실제 지원으로 이어지는지도 확인할 지점이다. 공격자가 무료 모델 사이를 옮겨 다니는 방식이 계속 보고되는지도 방어 전략의 전제를 바꾼다.