[두 얼굴의 AI]①보안전문가라 속이자…IP카메라 순식간에 해킹

AI 해커가 온다…악성코드 짜고 피싱메일 작성
IT 구루 "사람 다치거나 죽는 위험도" 경고

편집자주생성형 인공지능(AI)은 두 얼굴을 갖고 있다. 약간의 속임수만 쓰면 해킹을 돕는 악성코드나 피싱메일을 작성해 준다. 반대로 프로그램의 취약점을 찾아 방어 전략을 짜는 데 도움을 주기도 한다. 한 끗 차이로 '해커 공범'이 되거나 '보안 전문가의 조수'가 되는 셈이다. 생성 AI를 이용해 보안 시스템을 뚫으려는 자와 막으려는 자의 경쟁이 치열하다. 보안업계는 AI 해커 등장에 긴장하면서도 이를 막는 보안기술이 새로운 성장 동력이라 보고 있다. AI 보안을 둘러싼 창과 방패의 대결을 살펴봤다.

# 챗GPT에 IP카메라 프로그램 코드에서 취약점을 찾아달라고 하자 3초 만에 답을 줬다. 이번에는 이를 공격하는 악성코드를 만들어 달라고 했다. 단도직입적으로 물으면 답변을 거부해 약간의 속임수를 썼다. 질문자를 보안 전문가라 소개하고 취약점을 고치기 위한 목적이라고 설득했다. 그러자 순순히 악성코드를 내놨다. 코드를 실행하자 PC 화면에 IP 카메라 촬영 장면이 떴다. 1시간여 만에 누군가의 일상이 털린 것. 이를 시연한 보안 스타트업 티오리의 박세준 대표는 "숙련도에 따라 한 달이 걸릴 수도 있는 일을 챗GPT가 뚝딱해냈다"며 "약간의 도메인 지식이 있다면 이를 악용할 수도 있다"고 설명했다.

생성형 AI가 부상하면서 우리의 디지털 보안을 위협하고 있다. AI가 과제를 대신하는 것처럼 악성코드를 짜거나 피싱메일을 쓰는 데 동원되는 식이다. 방대한 데이터를 학습한 AI 자체가 공격 대상이 될 수도 있다. 이 경우 각종 데이터가 유출되거나 AI와 연결된 시스템이 마비될 수 있다. 영화 터미네이터처럼 AI가 보안에 가장 위협적인 존재가 되는 셈이다.

[이미지출처=픽사베이]

일단 AI가 해킹 도구로 활용될 수 있다. 챗GPT에 웹사이트 관리자 권한을 가져오는 법을 알려달라고 하면 홈페이지를 탈취할 수 있다. 사이트 관리자 권한으로 접속한 뒤 이용자 정보를 들여다볼 수 있는 것이다. 시스템을 암호화하는 악성코드를 요구하면 홈페이지를 다운시키는 게 가능하다. 기존 홈페이지의 데이터를 알아볼 수 없도록 마비시키는 것이다. 악성 소프트웨어(SW)를 설치하도록 유도하는 피싱 메일도 그럴듯하게 만들 수 있다. "친애하는 OO에게"라는 어색한 번역투 대신 채용공고를 보고 지원한 구직자인 것처럼 메일을 작성하는 식이다. AI로 영상·음성을 합성한 딥페이크·딥보이스를 통해 금융 사기를 벌이는 날도 머지않았다.

AI를 동원하면 사이버 범죄 진입 장벽이 낮아진다. 초보 해커라도 공격 대상의 취약점을 보다 쉽게 발견해 피해 규모를 급속도로 키울 수 있다. 아직 AI가 만든 해킹 도구 수준은 높지 않지만 고도화는 시간문제다.

이전까지 해킹은 AI가 정복하기 어려운 영역으로 통했다. AI는 기존 데이터에서 정답에 가까운 확률적 패턴을 학습하는 반면 해커는 기존 시스템을 잘 이해하면서도 여기서 어긋나는 패턴을 찾아야 하기 때문이다. 그러나 이제 나름 창의성이 필요한 분야까지 AI 손을 빌릴 수 있다. 박 대표는 "GPT 3.5보다 GPT 4.0으로 해킹을 시도해봤을 때 정확도가 많이 올라갔다"며 "이런 속도로 발전하면 AI가 위협적인 공격을 할 수도 있다는 생각이 든다"고 말했다.

AI 관련 보안 위협 [이미지 출처=KISA]

AI 자체가 표적이 될 수도 있다. 챗GPT의 경우 웹상에 떠도는 수많은 데이터를 학습했다. 지금도 전 세계 이용자들이 올린 질문을 습득하고 있다. 여기에는 일부 기업들의 기밀 정보도 들어있다. 거대한 '데이터 댐'인 챗GPT가 공격당하면 기밀 정보가 유출되는 것은 물론 이와 연결된 각종 시스템이 마비될 수 있다. 삼성, 애플 등이 사내 '챗GPT 금지령'을 내린 이유다.

우려는 현실화되고 있다. 중국 해커 조직 '샤오치잉'은 올 초 국내 학술기관 사이트를 공격할 때 AI를 활용했다. 해킹에 필요한 코드를 AI에 묻고 답변을 구한 것으로 알려졌다. 해커들이 이용하는 온라인 커뮤니티 '다크웹'에서 챗GPT같은 챗봇 관련 문의도 올 1월 120건에서 2월 870건으로 급증했다. 챗GPT 등을 활용해 악성 프로그램을 퍼뜨리는 방법을 공유하는 내용이 대다수였다.

IT 구루들은 섬뜩한 경고까지 내놨다. 에릭 슈미트 구글 전 최고경영자(CEO)는 "AI가 제로데이 공격에 이용될 수 있다"며 "아주 많은 사람이 다치거나 죽는 실존적 위험을 가하고 있다"고 우려했다. 제로데이 공격이란 운영체제 등 핵심 시스템 내 보안 취약점을 발견하면 즉시 이를 공격하는 것을 뜻한다.