크라우드스트라이크 "알려진 AI해킹 빙산 일각...6개 에이전트 추적"
"공격자(해커)가 모델(AI)을 활용하는 것도 문제 일부지만, 고객 환경 안에서 AI가 의도와 다르게 오작동하는 경우도 있다. 실제 지난 6개월간 우리 플랫폼에서는 AI 에이전트가 주어진 작업을 수행하려다 보안 통제를 우회하면서 발생한 탐지 건수가 사람에 의한 탐지 건수를 넘어섰다. AI발 탐지가 사람발 탐지의 2.5배에 이른다. 이 문제는 점점 커지고 있다. 근본적으로 이는 가시성의 문제다." 글로벌 보안기업 크라우드스트라이크(CrowdStrike)의 공격대응 작전총괄 수석부사장(Senior Vice President of Counter Adversary Operations) 애덤 마이어스(Adam Meyers)가 최근 방한, 서울 강남 소재 조선팰리스호텔에서 지디넷코리아와 단독 인터뷰를 가졌다. 인터뷰에서 마이어스 부사장은 한국을 위협하는 사이버공격 주체로 북한, 중국, 사이버범죄 조직을 지적하며 "제대로 방어하려면 공격자가 누구인지, 어떻게 움직이는지, 무엇을 노리는지 이해해야 한다"고 강조했다. 특히 크라우드스트라이크는 최근 한국 금융권을 공격한 해킹 배후로 중국 광둥성에 거주하는 26세 인물로 추정, 큰 관심을 모았다. 크라우드스트라이크에 따르면, 공격자는 홍콩 소재 서버를 주 통제 인프라로 삼고 별도 서버에서 실제 한국 공격을 수행했다. 중국 인공지능(AI) 모델 '딥시크'를 주로 활용한 정황도 보였다. 회사는 "다만 이는 정황에 따른 추정으로, 확정적 신원 특정은 아니다"면서 "이번 단서는 공격자가 생성형 인공지능(AI) 코딩 도구 '클로드 코드' 사용 과정에서 노출됐다. 공격자가 남긴 흔적(아티팩트)을 토대로 이 같은 공격 과정을 재구성했다"고 설명했다. 마이어스 수석부사장은 이번 분석보고서를 설명하는 화상 브리핑도 8일 국내 언론과 가졌다. 이 브리핑에서 공격자의 기술 수준이 높은 수준이 아니라고 진단한 그는 "AI를 활용한 공격이 완전히 다른 새로운 위협은 아니다. AI 공격이라고 해서 실제로 새로운 것은 없다. 이전에 관찰됐던 기법과 역량을 그대로 쓰고 있다"면서 "AI 에이전트 도움으로 속도와 물량만 커지고 있을 뿐이다. 공격자들이 빠르게 움직이고 많은 양의 명령을 쏟아내는 것은 사실이지만, 여전히 EDR을 통해 이들을 추적할 수 있다"고 진단했다. 크라우드스트라이크는 클라우드 기반 글로벌 사이버보안 기업이다. 엔드포인트 탐지·대응 보안 솔루션인 EDR(Endpoint Detection and Response)을 세계적으로 대중화한 회사다. EDR에서 출발, 현재는 AI와 위협 인텔리전스를 결합한 통합 사이버보안 플랫폼 기업으로 발전했다. EDR은 PC·노트북·서버 같은 단말기에서 발생하는 해킹이나 악성행위를 탐지해 대응하는 보안 제품이다. 2011년 조지 커츠(George Kurtz), 드미트리 알페로비치(Dmitri Alperovitch), 그렉 마스턴(Gregg Marston)이 공동 창업했다. 본사는 미국 텍사스주 오스틴에 있다. 조지 커츠가 현재 최고경영자(CEO)를 맡고 있다. 2019년 나스닥에 상장했다. 2026년 1월 31일 끝난 2026회기 매출은 48억1000만달러다. 직원 수는 2026년 기준 약 1만700명 수준이다. 한국에는 2020년 진출했다. 안랩, 지니언스 등이 한국 경쟁사다. 마이어스 수석부사장은 회사 초기 멤버로 사이버 위협 인텔리전스 얼라이언스(CTIA) 창립 멤버이기도 하다. 조지워싱턴대학교에서 정치학과 컴퓨터과학 학사 학위를 취득했다. 크라우드스트라이크의 인텔리전스 조직인 '공격 대응 작전 조직'을 이끌고 있다. 이 조직은 전 세계에서 활동하는 500명 이상의 분석가, 위협 헌터, 언어 전문가, 리버스 엔지니어, AI 연구원, 지정학 전문가로 구성돼 있다. 크라우드스트라이크 합류 전 SRA 인터내셔널(SRA International)에서 사이버 보안 인텔리전스 디렉터를 역임했고, 크라우드스트라이크에서는 인텔리전스 디렉터를 거쳐 현재 직책을 맡고 있다. 아래는 마이어스 수석부사장과의 일문일답. -방한 목적은 "한국에서 크라우드스트라이크 입지를 넓히기 위해 방한했다. 공공과 민간 부문 고객들을 만나 AI가 위협 환경을 어떻게 바꾸고 있는지 알리려 한다." -이번에 만난 고객사를 공개할 수 있나? "구체적인 고객사명은 공개하기 어렵다. 대형 기술기업, 금융 기관, 정부 기관 등을 만났다." -학부에서 정치학을 전공했다. 지금의 보안 전문가 커리어에 도움이 됐나 "아니다. 대학 시절 부업으로 모의 해킹을 했다. 학업보다는 보안에 더 관심이 많았다. '사이버 보안'이라는 말이 생기기도 전이었다. 학위는 사실 부모님을 기쁘게 해드리려고 받은 거다." -최근 한국 금융권을 공격한 AI 에이전트 'ARTEX(아르텍스)' 사건의 배후로 중국을 추정했다 "한국 금융 기관을 대상으로 한 표적 캠페인과 관련한 인프라를 확인했다. 이 과정에서 데이터가 유출된 정황을 포착했다. 이 캠페인은 지난 9월 말부터 10월 초까지 진행했다. 위협 행위자가 관리하는 공개 디렉터리를 분석한 결과, 클로드 코드(Claude Code) 세션 기록, 아르텍스 구성 파일 및 클로드 메모리 파일이 발견됐다. 이를 통해 해당 행위자의 공격 방식과 사용 도구를 직접 파악할 수 있었다. 중국어를 사용하는 사이버 범죄 세력일 가능성이 높다고 판단할 만한 아티팩트(공격 흔적)를 충분히 확인했다. 이 공격자는 ARTEX를 비롯한 여러 에이전틱 도구와 딥시크(DeepSeek) 등 이를 뒷받침하는 모델을 활용했고, 궁극적으로 탈취한 은행 정보를 수익화하려 한 것으로 보인다. 이 공격이 금전적 목적을 가진 것으로 판단하고 있는데, 이는 중간 정도(moderate confidence)의 확신이다." -중간 정도 확신도를 퍼센트로 말해줄 수 있나? "인텔리전스 분야에서는 수치가 오히려 혼선을 줄 수 있어 숫자 대신 추정 표현을 쓴다. 여러 출처와 데이터를 종합해 판단하기 때문에 '낮음, 중간, 높음'으로 표현한다. 중간 수준은 50% 이상을 의미한다. 저는 '중간 수준의 확신도'라는 표현을 선호한다." -한국에서 사고가 일어나기 이전부터 ARTEX를 위험한 에이전트로 인지하고 있었다는 건가 "그렇다. 사고 이전부터 인지하고 있었다. ARTEX는 중국에서 만들어진 모의 해킹(펜테스트) 프레임워크다. 레드팀용 에이전트는 본질적으로 공격 목적으로도 쓰일 수 있다. 자체 보안 수준을 점검하는 데 쓸 수도 있지만, 공격자가 상대의 보안을 파악해 악용하는 데 쓸 수도 있는 이중 용도(dual-use) 기술이다." -ARTEX 외에 크라우드스트라이크가 파악하고 있는 위험한 AI 에이전트 공격 세력은 몇 개나 되나? "현재 최소 6개의 '에이전틱 공격 세력(agentic adversaries)'을 추적하고 있다. 이들은 중국어, 러시아어, 인도네시아어, 스페인어 등을 사용한다. 다양한 AI 에이전트 도구로 전 세계에서 침해 활동을 벌이고 있다. 이는 빙산의 일각에 불과하다고 본다. 매주 새로운 세력을 발견하고 있다. 최근 3개월간 발견한 수는 직전 3개월의 두 배에 달한다." -오픈소스 AI 모델이 확산하면서 ARTEX 같은 AI 기반 공격이 늘고 있다. 어떻게 대응해야 하며, 크라우드스트라이크의 대응 전략은? "공격자가 모델을 활용하는 것도 문제의 일부지만, 고객 환경 안에서 AI가 의도와 다르게 오작동하는 경우도 있다. 실제 지난 6개월간 우리 플랫폼에서는 AI 에이전트가 주어진 작업을 수행하려다 보안 통제를 우회하면서 발생한 탐지 건수가 사람에 의한 탐지 건수를 넘어섰다. AI발 탐지가 사람발 탐지의 2.5배에 이른다. 이 문제는 점점 커지고 있다. 근본적으로 이는 가시성의 문제다. 무슨 일이 일어나고 있는지 볼 수 있어야 한다. 그래서 우리는 최근 AI 탐지·대응(AIDR)의 다음 단계인 '팔콘 가디언(Falcon Guardian)'을 발표했다. 또 자체 프런티어 AI 연구 조직인 '사이버 슈퍼인텔리전스 랩(Cyber Superintelligence Lab)'을 설립, 보안에 특화한 모델을 내놓기 시작했다. 공격용 모델 '레드 템페스트(Red Tempest)'와 방어용 모델 '블루 솔라노(Blue Solano)'가 그 것이다. 지난 9월 개최한 연례 컨퍼런스 '팔콘(Fal.Con)'에서 발표했다." -한국은 북한이라는 상수가 있다. 북한과 중국발 공격에 대한 한국의 대응 역량을 어떻게 평가하며, 어떻게 대응해야 하나? "한국을 위협하는 주요 공격 세력은 크게 세 가지다. 첫째 북한이다. 북한은 첩보 활동과 함께, 가능하다면 한국 경제 전반을 겨냥한 파괴적 공격을 노리고 있다. 둘째 중국이다. 중국은 기술과 기밀을 탈취하고, 장기적인 외교·군사적 우위를 확보하기 위해 정치·군사 정보를 수집하는 첩보 활동을 벌이고 있다. 셋째, 사이버 범죄 조직이다. 최근 사고에서 봤듯 금융권을 노리고 있다. 한국의 대응 역량을 평가하기는 어렵지만, 지난 수년간 꾸준히 발전해 왔다고 본다. 우리가 한국에 온 것도 이러한 대응 역량의 발전을 돕기 위해서다. 크라우드스트라이크는 탐지뿐 아니라 예방, 그리고 공격자가 치러야 하는 비용을 높이는 데도 힘쓰고 있다. 올해 여러 '봇넷'을 무력화했다. 이번 주에는 랜섬웨어와 북한 관련 위협을 무력화한 활동에 대한 소식이 미국에서 발표될 예정이다." -포티넷, 팔로알토, 카스퍼스키 등 다른 글로벌 보안 기업과 비교해 크라우드스트라이크의 탐지 역량과 조직은? "크라우드스트라이크 임직원은 약 1만 5000명이다. 올해 9월 창립 15주년을 맞았다. 나는 초창기 직원 중 한 명이다. 크라우드스트라이크는 안티바이러스에서 한 단계 혁신한 엔드포인트 탐지 및 대응(EDR)이라는 기술 분야를 사실상 처음 만든 회사다. 2013년 6월 솔루션을 출시했다. 다른 기업들은 안티바이러스에서 출발한 레거시 기업에 가깝다. 현재 EDR, AI 탐지·대응(AIDR), 클라우드 보안, ID 보안, 차세대 SIEM 등 폭넓은 제품군을 갖췄다. 나는 카운터 어드버서리 오퍼레이션을 총괄하고 있다. 위협 인텔리전스 전문가와 위협 헌터 등 약 550명이 소속돼 있다." -크라우드스트라이크 위협 헌터들이 다루는 데이터는 어느 정도 규모인가? "우리 위협 헌터들은 하루 7조 건의 이벤트(공격 건수가 아닌 포착 신호)를 다룬다. 이벤트는 윈도우나 리눅스 시스템에서 일어나는 프로세스 실행, 파일 쓰기, 셸 명령 등 하나하나의 텔레메트리 데이터를 말한다. 이 텔레메트리에서 1400만 건의 탐지 리드를 생성하고, 이를 통해 연간 약 3만 6000건의 공격 활동을 고객에게 통보한다. 이렇게 얻은 정보는 플랫폼의 탐지 및 예방 기회 100만 건으로 다시 반영된다." -일부 글로벌 보안 기업은 지역별 탐지 센터를 운영한다. 한국에 탐지 센터나 연구소를 둘 계획이 있나? "우리 팀은 전 세계에 분포해 있다. 지역 탐지 센터 방식으로 운영하지 않는다. 크라우드스트라이크는 클라우드 네이티브 플랫폼이어서 플랫폼 전체의 텔레메트리를 확인할 수 있기 때문에 지역별 거점이 필요하지 않다. 고객이 데이터를 보관할 수 있게 지역별 클라우드는 운영하고 있지만, 텔레메트리는 결국 우리 팀으로 모인다. 한국 팀은 계속 확대하고 있다. 한국 지사장을 중심으로 기술 인력과 영업 인력을 꾸준히 늘리고 있다. 또 고객이 전담 인텔리전스 분석가를 원하면 해당 고객에게 분석가를 배치할 수도 있다. 한국 고객의 경우 본사에서 파견하는 것이 아니라, 한국에서 채용한 한국어 구사 분석가가 한국에 상주하며 지원한다. 일본에서는 일본어를 구사하는 일본인 분석가가, 싱가포르에서도 마찬가지로 현지 분석가가 고객을 지원하고 있다." -글로벌 매출 중 한국 비중과 한국 투자 규모와 채용 계획 및 파트너 정책은? "나는 위협 인텔리전스 담당이라 글로벌 시장에서 한국이 차지하는 비중 같은 수치는 파악하고 있지 않다. 한국 팀을 통해 추후 상세 내용을 전달드리겠다. 설비 투자(CapEx) 역시 내 전문 분야가 아니다. 다만 고객 수요가 늘어나는 대로 한국에서 분석 인력을 추가로 채용할 계획이다." -크라우드스트라이크는 앤트로픽의 '글래스윙' 프로젝트와 오픈AI의 '데이브레이크' 등 프런티어 AI 기업의 보안 이니셔티브에 참여하고 있나? "그렇다. 프런티어 AI 랩들과 매우 긴밀하게 협력하고 있다. 이들 기업은 자사 모델의 역량을 제대로 파악하려면 크라우드스트라이크 같은 기업의 보안 전문성이 필요하다는 점을 인식하고 있다. 흥미로운 사례가 있다. 앤트로픽의 미토스(Mythos)를 처음 활용했을 때 찾아낸 취약점들은 의미가 있었지만 오탐률이 80%에 달했다. 우리 도메인 전문성을 바탕으로 맞춤형 하네스(harness)를 구축하자 오탐률을 20%로 낮출 수 있었다. 그 결과 한 달 만에 2400건의 신규 취약점을 CVE(Common Vulnerabilities and Exposures, 공통 취약점 및 노출, 소프트웨어에서 발견된 보안 취약점에 붙이는 국제적인 고유 식별번호)로 제출했다. 이는 2026년 6월 보고된 전체 취약점의 약 30%에 해당한다. 2026년 6월에 보고한 취약점 수가 2025년 6월보다 96% 많았다. AI가 취약점 분야에 상당한 영향을 미치고 있다는 뜻이다." -한국에서 현재 매출이 가장 많이 나오는 분야와 앞으로 공략하려는 분야는? "지난 9년간 공격자들이 가장 많이 노린 분야는 기술 분야다. 따라서 기술 분야가 저희가 집중할 핵심 분야 중 하나다." -한국에서는 금융, 제조, 유통, 통신 등으로 산업을 나눈다. 더 구체적으로 말해줄 수 있나 "사이버 보안은 어느 산업에나 존재하는 고질적인 문제이기 때문에 모든 산업을 대상으로 한다.모든 분야로 사업을 확대해 나갈 계획이다." -한국 시장에 전하고 싶은 메시지는? "제대로 방어하려면 공격자가 누구인지, 어떻게 움직이는지, 무엇을 노리는지 이해해야 한다는 것이다. 산업과 지역마다 위협이 다르다. 이 때문에 한국에서도 산업별로 어떤 위협이 있는지 살펴보고 그에 맞게 대응을 해야 한다." -다음에 한국에 언제 또 올 계획인가? "아직 특별한 계획은 없다. 하지만 언제든 다시 오고 싶다."
