KISA "AI 해킹시대, 취약점 발견보다 빠른 조치가 관건"
올해 공개 취약점 6만6000건 전망…3년 만에 2배 이상
"모두 막기보다 위험도 선별"…한국형 보안특화 AI 필요
[파이낸셜뉴스] 인공지능(AI)이 소프트웨어 취약점을 찾아내고 공격에 활용하는 속도를 빠르게 끌어올리면서 사이버 보안의 무게중심을 '얼마나 많은 취약점을 발견하느냐'에서 '위험한 취약점을 얼마나 빨리 가려내고 조치하느냐'로 전환해야 한다는 조언이 나왔다. 공격자가 AI를 활용해 공격 시간을 단축하는 만큼, 방어 측에서도 AI를 적극 활용해 대응 속도를 높여야 한다는 것이다.
전 세계에서 공개되는 보안 취약점은 빠르게 늘고 있다. 연간 공개 취약점(CVE)은 2023년 2만9066건에서 지난해 4만8185건으로 증가했고, 올해는 약 6만6000건까지 늘어날 것으로 전망된다. 연초 전망치보다 46.3% 늘어난 수치다. KISA는 AI 기반 자율 취약점 발견 도구 확산이 취약점 공개 증가 요인 중 하나로 꼽았다.
다만 배 센터장은 "취약점 공개 건수가 증가했다고 해서 소프트웨어 위험이 그만큼 높아졌다는 것은 아니다"며 "중요한 것은 몇 개의 취약점이 존재하느냐보다 취약점을 얼마나 빨리 식별하고 정확하게 판단하느냐"라고 말했다. 이어 "앞으로 핵심은 모든 취약점에 동일하게 대응하는 것이 아니라 실제 위험한 취약점을 찾아내고 대응하는 것"이라며 "검증과 판단을 우선하는 것이 중요하다"고 설명했다.
문제는 공격과 방어의 속도 차이다. 지난해 실제 악용된 취약점 884건 가운데 29%는 공개 당일 또는 이전부터 악용됐다. 반면 기업이 취약점을 패치하는 데 걸리는 기간은 평균 43일로 전년 32일보다 늘었다.
취약점을 실제 공격 수단으로 만드는 시간은 짧아지고 있다. KISA는 AI를 활용할 경우 과거 수일에서 수주가 걸리던 익스플로잇 개발 시간이 수시간, 향후 10분 미만까지 줄어들 수 있다는 보안업계 분석을 소개했다. 배 센터장은 "취약점이 공개된 이후 공격이 빨라질 수 있기 때문에 기업이 대응해야 할 시간도 줄어들 수밖에 없다"며 "위험한 취약점을 얼마나 빨리 파악하고 조치하는지가 기업의 과제가 되고 있다"고 말했다.
KISA도 방어 과정에 AI를 활용하고 있다. 주요 기반시설의 외부 공개 웹페이지와 상용·오픈소스 소프트웨어 등을 AI로 점검한 뒤 전문가가 실제 공격 가능성을 검증하는 방식이다.
배 센터장은 질의응답에서 "사람이 취약점을 찾는다고 하면 일주일이나 한 달이 걸릴 수 있는 시간을 AI가 짧게 찾을 수 있었다"며 "AI가 취약점을 찾았다는 것 자체보다 실제 찾아낸 결과 가운데 유효한 것은 얼마나 되는지, 오탐은 없는지 검증하는 체계를 갖추는 것이 중요하다"고 설명했다. 그러면서 "AI는 공격자의 도구인 동시에 방어자의 도구"라며 "방어자도 AI를 활용해 더 많은 자산을 점검하고 선별해 조치하고 검증하는 체계를 갖춰야 한다"고 강조했다.
김 팀장은 "둘은 다른 의미지만 함께 가야 하는 상호보완적인 동전의 양면"이라며 "AI 포 시큐리티는 취약점 탐지와 자동 패치 생성 등 방어 전반에 AI라는 방어 무기를 투입하는 것"이라고 설명했다. 반대로 시큐리티 포 AI는 프롬프트 인젝션과 모델 탈취, 데이터 오염 등으로부터 AI 시스템 자체를 보호하는 개념이다.
김 팀장은 국내 환경에 맞춘 보안특화 파운데이션 모델의 필요성을 강조했다. 그는 "우리나라는 지정학적으로 공격이 많고 공격 주체에도 특수성이 있다"며 "우리나라 보안 아키텍처도 망분리 환경이나 HWP 사용 등 해외와 다른 부분이 있어 해외 범용 모델을 그대로 가져다 쓰는 데 한계가 있다"고 말했다.
글로벌 범용 AI와의 기술 격차는 특정 분야에 집중하는 방식으로 좁힐 수 있다고 봤다. 김 팀장은 글로벌 AI를 여러 전공을 공부한 '천재'에 비유하면서 "전체를 당장 따라가기는 쉽지 않지만 한 학문씩 집중적으로 발전시켜 따라갈 수 있다는 게 보안특화 파운데이션 모델의 방향성"이라고 설명했다.
개발 방식에 대해서는 국가와 민간의 역할 분담을 강조했다. 김 팀장은 질의응답에서 "국가 주도로 가야 하지만 기술을 민간이 도와주지 않으면 쉽지 않다"며 "민간 참여는 필연적이다. 국가가 주도하고 활성화는 민간이 해야 한다"고 말했다.
[email protected] 윤홍집 기자
