예고된 위협은 결국 현실이 됐다. 최근 금융권에서 불거진 AI 해킹 이슈는 공격의 속도가 얼마나 빨라질 수 있는지 보여줬다. 방어에도 AI가 필요한 시대임은 자명하다.
AI는 사람이라면 여러 도구를 바꿔가며 며칠씩 확인할 범위를 짧은 시간에 탐색한다. 취약점이 있을 만한 지점을 추론하고 시스템 반응을 살핀 뒤 실패하면 조건을 바꿔 다시 들어온다. 공격 비용은 낮아지고 시도 횟수는 늘어난다. 방어자의 하루는 그대로인데 공격자의 하루만 길어진 셈이다.
여기에 공격과 방어의 비대칭성이 겹친다. 공격자는 수많은 경로 중 하나만 뚫어도 목적을 이룰 수 있지만 방어자는 어느 경로도 소홀히 할 수 없다. AI가 해킹의 진입 장벽까지 낮추면 이 불균형은 더 커진다. 사람이 혼신의 힘을 다해도 공격 속도를 감당하기 어려워진 것이다.
단, 기술의 속도가 곧 보안의 실력은 아니다. 기존의 탐지 절차를 빠르게 돌리는 것과 실제 공격자의 관점에서 시스템을 검증하는 것은 다르다. 공격자는 취약점 목록을 작성하려고 침투하지 않는다. 작은 설정 오류 하나를 발판 삼아 권한을 넓히고 더 중요한 시스템에 접근할 수 있는지를 따진다. 따라서 방어도 '무엇이 취약한가'를 넘어 '이 허점으로 어디까지 갈 수 있는가'를 물어야 한다.
바로 이 지점에서 보안 특화 AI의 쓰임이 분명해진다. 점검 대상과 범위를 정해 주면 AI가 공격 가설을 세우고, 허용된 환경에서 직접 시도해 시스템 반응을 확인한 뒤, 결과에 따라 다음 길을 찾아 나선다. 의심스러운 곳에 표시만 하고 끝내지 않는다. 그 허점이 실제 공격에 악용될 수 있는지까지 따진다.
최근 국내 시연에서도 AI 기반 모의해킹 솔루션이 몇 분 만에 취약점 여럿을 찾아내 검증했다. 현장 관계자는 사람이 같은 범위를 점검하려면 최소 1주일 이상 걸릴 것으로 봤다.
이러한 판단과 검증의 바탕에는 화이트해커의 실전 노하우가 있다. 수많은 실전형 모의침투를 통해 작은 결함들이 어떻게 연결돼 실제 사고로 번지는지 확인하고, 공격 순서를 설계하며 위험의 크기를 가려내 온 경험이다. 도구는 내려받을 수 있지만 경험은 내려받을 수 없다. 이 전문성을 AI에 접목해야 빠른 탐색이 의미 있는 방어로 이어진다.
사람과 AI의 역할도 명확하다. 화이트해커는 점검 범위와 판단 기준을 설계하고, AI는 방대한 경로를 탐색하며 가설을 반복 검증한다. 실제 위험의 판단과 중요한 시험의 승인, 보완의 우선순위 결정은 전문가가 맡는다.
AI가 탐색과 검증을 반복하는 업무 흐름의 주요 지점에 인간의 판단과 의사결정을 배치하는 '휴먼 인 더 루프(Human-in-the-Loop)' 방식이다. AI가 전문가를 밀어내는 것이 아니라 전문가의 역량을 더 넓은 영역으로 확장하는 구조다.
수시로 시스템이 변화하는 기업일수록 여기에 주목해야 한다. 기능이 추가되고 외부 서비스가 연결되면 접근 권한도 달라지기에 면밀하면서도 신속한 점검이 필요하다. 화이트해커의 경험을 담은 AI라면 변경된 환경을 다시 살피고 이전에 놓친 경로를 반복해 검증할 수 있다. 공격자가 빈틈을 찾는 동안 방어자가 먼저 그 가능성을 지워나가는 것이다.
보안 투자의 기준도 달라질 조짐이 보인다. 얼마나 많은 항목을 검사했느냐보다 실제로 위험한 통로를 얼마나 빨리 찾아 닫았는지가 성과가 된다. 점검 결과가 보고서에 머무르지 않고 수정과 재검증으로 이어져야 하는 이유다.
우리에게는 이러한 변화를 이끌 든든한 자산도 있다. 세계 유수의 해킹 대회에서 꾸준히 상위권에 이름을 올려온 국내 화이트해커들의 역량이다. 이들의 실전형 모의침투 경험이 AI의 실행력과 결합하면 보안의 시간표도 달라진다. 점검과 점검 사이의 공백은 좁아지고, 사람의 눈이 미처 닿지 못하던 영역까지 전문성이 확장된다.
공격자는 지금도 AI로 다음 표적의 빈틈을 찾고 있다. 방어 역시 AI로 그 길을 먼저 찾아 닫아야 한다. 기계의 속도에 화이트해커의 경험을 더하는 것. 공격보다 앞서는 방어는 거기서 시작된다.
윤원석 라온시큐어 화이트햇센터장(부사장) wsyun@raon.com