정부가 오픈AI의 사이버보안 특화 인공지능(AI)을 국가 기반시설 취약점 점검에 투입했다. 사람이 일주일에서 한 달가량 걸리던 취약점 탐색 소요 시간을 단축하며 유효 취약점을 찾아내는 성과를 거두고 있다.
배승권 한국인터넷진흥원(KISA) 취약점관리센터장은 지난 21일 서울 광화문에서 열린 '이슈앤톡' 행사를 통해 “국가 기반시설 대외 공개 웹페이지와 이들이 사용하는 상용·오픈소스 소프트웨어를 점검하고 있다”며 “AI가 찾은 10건 중 유효한 취약점은 5~6건 수준”이라고 밝혔다.
이어 “전문인력을 투입할 때 일주일, 한 달이 걸렸던 업무를 AI가 훨씬 짧은 시간 내 수행하고 있어 큰 도움이 되고 있다”고 전했다.
과학기술정보통신부와 KISA는 지난 5월부터 오픈AI의 GTAC 프로그램에 참여했고, 보안에 특화된 프런티어 AI 모델 'GPT-5.5 사이버'를 취약점 점검에 본격 활용하기 시작했다.
KISA는 쏟아지는 취약점에 대응하기 위해 내부 분석·검증 업무에 AI를 적용하는 방안도 추진하고 있다. 실제 조치가 필요한 유효 취약점을 빠르게 가려내는 시간을 줄이겠다는 취지다.
또 유효하지 않은 취약점 제보가 기업의 분석·조치 부담으로 이어지는 문제를 줄이기 위해 보호나라 등에 마련된 관련 운영 지침도 정비할 계획이다.
KISA는 취약점을 발견 이후 얼마나 신속하게 조치하느냐도 중요해지고 있다고 강조했다. 공격자들의 AI 활용으로 인해 취약점이 공개된 뒤 악용되는데 걸리는 시간이 수일에서 수시간 단위로 줄고 있기 때문이다. 실제 지난해 악용된 취약점의 29%는 공개 당일 또는 공개 이전부터 공격에 활용됐다.
반면 기업의 패치 소요 기간은 평균 43일로 전년 32일보다 오히려 늘었다. 악용이 확인된 취약점의 완전 조치율도 26%에 그쳤다.
공격과 대응 간 시간 격차를 줄이기 위해 해외에서는 구체적인 조치 시한을 설정하는 움직임도 나타나고 있다.
미국은 지난 6월 사이버보안·인프라보안국(CISA)이 '취약점 대응 지침(BOD 26-04)'을 통해 연방민간행정부기관(FCEB)의 고위험 취약점 조치 시한을 최단 3일로 설정했다. 전체 공공·민간에 적용되는 기준은 아니지만 시한을 구체적으로 제시했다는 점에서 의미가 있다.
배 센터장은 “한국은 미국과 같은 지침이 아직 없다”며 “공개된 취약점을 신속히 조치할 수 있도록 관련 제도의 법제화를 고민할 필요가 있다”고 제언했다.
국내 환경에 맞춘 보안 특화 파운데이션 모델 구축 필요성도 제기됐다. 해외 모델만으로는 한국형 공격과 국내 보안 환경을 충분히 반영하기 어렵다는 판단에서다.
김은성 KISA 위협대응정책팀장은 “국내는 한컴오피스 '한글'이나 망분리처럼 해외와 다른 전산환경을 많이 사용하고 있다”며 “이 같은 국내 환경을 노린 공격에 대응하려면 우리나라에 특화된 보안 AI가 필요하다”고 말했다.
현재 정부는 네이버클라우드 컨소시엄을 사업자로 선정해 보안 특화 AI 개발에 착수했다. KISA는 축적한 위협정보와 침해사고 조사 데이터를 제공하는 등 AI 학습을 지원할 방침이다.
박진형 기자 jin@etnews.com
