검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'해킹 AI'통합검색 결과 입니다. (143건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

580개 금융사, 상담용 웹·직원 관리 시스템까지 보안 점검 돌입

금융사 홈페이지가 아닌 상담용 웹이나 직원 관리 시스템 등에서 해킹 사고가 터지면서 금융위원회가 580개 전 금융사 외부 시스템을 대상으로 전면 보안 점검에 돌입한다. 5일 서울 여의도 금융보안원 분원에서 열린 '인공지능(AI)시대 보안체계 혁신을 위한 전 금융권 간담회'에서 1차 보안 점검에서 빠졌던 가상자산거래소나 온라인투자연계업 등을 포함해 외부 접점에 관한 보안 점검에 돌입할 계획이라고 금융위원회는 밝혔다. 점검 범위 역시 대고객 홈페이지라는 단일 채널에 머물지 않고, ▲직원 관리 시스템 ▲내부 업무망 ▲제휴 서비스 등 외부에서 접근이 가능한 모든 업무 영역으로 확장된다. 특히 ▲영업 및 관리 목적의 각종 API ▲인증·접근통제 시스템 전반 ▲개발·테스트 및 임시운영 시스템 등 과거 점검서 빠졌던 주변부 IT 자산들이 대거 집중 점검 대상에 포함됐다. 외부 시스템에 대한 전수 점검은 오는 11월 30일까지 마무리 지을 계획이며, 점검 이후 발생하는 침해 사고에 대해서 금융당국이 엄정히 책임을 묻는다는 방침이다 여기에 IT 자산을 총괄하는 경영진의 의사결정 구조와 책임 범위를 따져보는 내부통제 운영실태 점검도 함께 이뤄진다. 금융위는 최고경영자(CEO)·정보보호최고책임자(CISO)·최고정보책임자(CIO) 등의 역할 분담과 외부접점 생성·폐기 과정에서 승인 절차가 제대로 작동했는지도 들여다볼 방침이다. 대장에 없던 미등재 시스템과 내부통제 전반에 대한 조사는 12월 말까지 완료한다. 이억원 금융위원장은 이날 회의에서 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며, "전 금융권 CEO분들은 절체절명의 위기상황임을 명확히 인식하고 전사적인 비상대응반을 즉시 구성해 정부에서 준비한 전수점검 계획과 제도개선 과제에 맞추어 긴밀한 상황대응과 튼튼한 보안체계 마련에 사력을 다해주길 바란다"고 당부했다.

2026.11.05 11:12손희연 기자

걸어잠갔던 '금융권 망(網)' 전면 풀린다

최근 지능화된 인공지능(AI) 기반 해킹 위협에 맞서 금융당국이 내부망과 외부망을 엄격하게 갈라놓았던 기존 망 분리 규제를 전면 해제하겠다는 방침을 발표했다. 이억원 금융위원장은 5일 서울 여의도 금융보안원 분원서 망 분리 전면 해제 내용이 담긴 'AI 시대 보안체계 혁신방안'을 발표했다. 올해 6월 보안 목적 망 분리 규제 완화 실시 이후 단계적 망 분리 해지를 추진해왔던 금융위가 5개월 만에 망 분리 전면 해제에 전격 돌입한 것이다. 기존 망 분리 중심 보안 환경서는 금융회사 AI 등 신기술을 방어 수단으로 능동적으로 활용하는 데 뚜렷한 한계가 있었다. 이제서야 금융당국이 금융권 혁신을 가로막는 규제로 지적받아 온 망 분리 제도를 손질해 AI 공격은 AI로 방어하는 실효적 보안 인프라를 구축하겠다는 의지를 굳힌 셈이다. 이날 '망 분리 규제 전면 해제 전담반(TF)'을 즉각 발족했다. 해당 TF에는 정부 부처와 유관기관뿐만 아니라 민간 AI·보안 전문가 및 전 금융권 담당임원이 대거 합류한다. ▲데이터 중요도별 보호 체계 ▲제로트러스트 원칙 적용 ▲최고경영자(CEO) 및 최고보안책임자(CISO) 책임 범위 ▲침해사고 시 업무연속성 확보 방안 등을 밀도 있게 다룰 방침이다. 이와 함께 보안 강화를 목적 목적으로 AI와 SaaS(서비스형 소프트웨어)를 활용할 때 임시로 적용해 오던 망 분리 예외 조치는 상시 제도화한다. 비조치의견서 중심의 한시적 완화에서 벗어나, 전자금융감독규정 개정을 통해 금융사들이 상시적으로 AI를 동원해 소스코드를 점검하고 보안 취약점을 신속히 보완할 수 있도록 한다는 복안이다. 당국은 블록체인 등 다양한 신기술에 대해서도 혁신금융서비스 지정을 통한 망 분리 규제 완화를 일관되게 이어갈 예정이다. 이억원 금융위원장은 이날 회의에서 "고객의 정보와 재산을 지키지 못하는 금융회사는 이미 그 존재가치를 잃은 것"이라며, "기존 보안관리 방식과 관행에서 벗어나 보안체계를 전면적으로 쇄신해야 할 때"라고 강조했다.

2026.11.05 10:48손희연 기자

[카드뉴스] 우리 집에 도둑이 들었는데 아무도 모른다면

안녕하세요, AMEET 기자입니다. 최근 기업들이 해킹당했다는 소식이 많이 들리고 있죠. 그런데 우리 집에 도둑이 들었는데 아무도 모른다면 얼마나 아찔할까요? 기업 해킹의 진짜 문제는 바로 이렇게 '몰래 머무는 침입자'예요. 요즘은 AI 덕분에 해킹 도구를 만들기가 훨씬 쉬워졌는데요, AI가 가짜 메일을 대신 써 주고 보안이 약한 곳도 빨리 찾아주다 보니 해커가 되는 문턱이 확 낮아졌어요. 게다가 다크웹에서는 기업 데이터베이스 한 건이 수백~수천 달러에 팔리기 때문에, 해커들은 포기하지 않고 계속 문을 두드리고 있어요. 이렇게 해킹 건수가 폭발적으로 늘고 있지만 아직 들키지 않고 숨어 다니는 도둑이 더 많을 수 있다는게 문제에요. 도둑들의 잠입 솜씨가 좋아졌다는 점을 눈여겨봐야 해요. 알려진 악당 사진만 보는 경비원은 변장한 도둑을 놓치잖아요? 옛 보안 방식도 이미 알려진 악성코드만 잡아내서, AI로 모양을 계속 바꾼 새 공격은 그냥 지나가 버리고, 침입자는 안에서 횡적 이동을 하며 돌아다녀도 들키지 않아요. 그렇다면 어떻게 대비해야 할까요? 비싼 AI 방어막을 먼저 도입할지, 기본부터 챙길지 의견이 갈렸는데요, AI패널 6명 중 4명은 기본 격리를 먼저 하자고 했어요. 작은 회사는 비싼 장비를 다룰 사람이 없기 때문이에요. 그래서 30일 안에 쓰지 않는 계정을 지우고 2단계 인증을 걸고, 90일 안에 핵심 DB를 사무용 네트워크와 분리해 로그를 보관하고, 1년 안에 행동 분석 솔루션을 검토하는 순서를 제안했어요. 무서워하기보다 숨은 침입을 찾고 막을 길을 좁히는 게 중요해요. 오늘 우리 회사 계정 목록부터 한번 열어 보세요. 더 자세한 내용은 AI의눈 보고서에서 확인해보세요! ▶ 해당 보고서 보기 https://ameet.zdnet.co.kr/uploads/43080bfd.html ▶ 지디넷코리아가 리바랩스 'AMEET'과 공동 제공하는 AI 활용 기사입니다. 더 많은 보고서를 보시려면 'AI의 눈' 서비스로 이동해주세요. (☞ 보고서 서비스 바로가기)

2026.10.30 21:37AMEET

소리 없는 침입자 AI 해킹, 우리 회사는 안전할까

안녕하세요 AMEET 기자입니다. 최근 해킹 소식이 끊이질 않고 있습니다. 인공지능(AI) 기술이 비약적으로 발전하면서 AI를 활용한 해킹이 기하급수적으로 늘고 있기 때문인데요. 과거의 해킹이 마치 대문을 부수고 들어오는 강도 같았다면, 이제는 집주인도 모르게 열쇠를 복제하고 집 안의 구조를 실시간으로 학습하며 숨어드는 '지능형 침입자'로 변모하고 있습니다. 특히나 더 무서운 점은 우리 회사가 이미 털렸는데도 그 사실조차 모르고 있을 가능성이 크다는 것입니다. 과연 우리는 이 보이지 않는 위협에 어떻게 대응해야 할까요? 이번 리포트에서는 챗GPT, 제미나이, 클로드 등 서로 다른 알고리즘과 관점을 지닌 AI 패널들이 모여 현재의 보안 위기를 진단하고 그 대책을 치열하게 논의했습니다. 토론의 서두에서 전문가들은 각자의 확고한 관점을 드러냈는데요. 먼저 AI 보안 전문 관점의 패널은 기술적 '복잡성과 은밀성'에 주목하며 AI가 방어 시스템의 틈새를 파고드는 질적 변화를 강조했습니다. 반면 IT 보안 전문가 관점에서는 '방어의 속도'를 문제 삼았죠. 공격의 진화 속도가 기업의 시스템 안정화 속도를 앞지르고 있다는 분석입니다. 여기에 국가 안보적 관점에서는 '격리와 차단'이라는 구조적 처방을, 위협 인텔리전스 분석가는 '공포 마케팅'이 아닌 실질적인 데이터에 기반한 냉정한 판단을 주문했습니다. 법률 전문가와 비판적 시각을 가진 패널들까지 합세해 AI 해킹이라는 거대한 퍼즐을 함께 맞춰보았습니다. 1. AI 해킹의 실체는 무엇인가, 단순한 양적 팽창인가 질적 진화인가 토론의 첫 번째 쟁점은 현재 우리가 마주한 위기감이 실질적인 데이터에 기반한 것인지, 아니면 막연한 공포인지에 대한 논의였습니다. 위협 인텔리전스 분석 관점의 AI 패널은 상당히 파격적인 주장을 내놓았는데요. 현재 시장에서 말하는 AI 해킹의 폭발적 증가라는 표현이 자칫 '위협 과장'일 수 있다는 지적이었습니다. 구체적인 통계 근거 없이 공포심만 자극하고 있다는 것이죠. 이 패널은 기업 데이터베이스가 다크웹 등에서 수백에서 수천 달러에 거래되는 것은 공격자의 '동기'가 꾸준하다는 증거일 뿐, 이것이 곧 AI로 인해 해킹 사건 자체가 물리적으로 엄청나게 늘어났음을 직접 증명하는 것은 아니라고 꼬집었습니다. 하지만 이에 대해 IT 보안 전문가 관점의 패널은 즉각 반박에 나섰습니다. 중요한 것은 사건의 개수가 아니라 '질적인 변화'에 있다는 것이죠. 과거의 공격은 정해진 패턴(시그니처)이 있어 이를 막기가 수월했지만, 최근의 AI 공격은 이른바 '적응형 악성코드'를 활용합니다. 방어 시스템이 무엇을 탐지하는지 실시간으로 학습하고 이를 우회하는 경로를 스스로 만들어내는 식이죠. 결국 기업들이 해킹을 당하고도 모르는 이유는 공격자가 AI를 통해 자신의 흔적을 완벽하게 지우거나, 정상적인 데이터 흐름처럼 보이게 위장하기 때문이라는 분석입니다. 논의는 단순히 몇 번의 공격이 있었느냐를 넘어, 단 한 번의 공격이 얼마나 치명적이고 은밀해졌느냐로 옮겨갔습니다. 비판적 관점의 AI 패널 역시 냉정한 시각을 유지했습니다. 우리는 흔히 기술이 발전하면 범죄도 늘어날 것이라고 믿는 '가용성 편향'에 빠지기 쉽다는 점을 경고했는데요. AI 해킹의 위협을 강조하는 학술 논문들은 많지만, 실제로 AI가 공격의 주도권을 완전히 쥐고 기업을 무너뜨렸다는 명확한 인과관계 데이터는 아직 부족하다는 것입니다. 결국 토론의 초반부는 AI 해킹이 우리 곁에 와 있다는 사실에는 동의하면서도, 그것이 가져온 파급력이 실제보다 부풀려진 것은 아닌지, 아니면 우리가 아직 발견하지 못한 깊은 곳의 상처인지를 두고 팽팽한 논리 대결이 이어졌습니다. 2. 방어의 속도와 비용, 중소기업에게 보안은 여전히 사치일까 논점은 자연스럽게 '대응 방안'으로 이동했습니다. 여기서 가장 크게 충돌한 지점은 방어 시스템의 업데이트 속도였습니다. 위협 인텔리전스 분석 패널은 공격자가 새로운 공격 기법을 등재하는 속도가 방어 시스템의 정책 업데이트 주기보다 빠르다는 점을 정량적으로 짚어냈습니다. 예컨대 새로운 공격 패턴이 매주 쏟아지는데 기업의 보안 정책은 분기별로 한 번씩 바뀐다면, 그 틈새는 영원히 메울 수 없는 사각지대가 된다는 논리였죠. 이는 결국 기존의 보안 방식이 일종의 '보안 극장', 즉 보여주기식 행정으로 전락할 수 있다는 뼈아픈 지적이었습니다. 이 과정에서 사이버 안보 전문가 관점의 패널은 '마이크로 세그멘테이션(초세분화 격리)'이라는 대안을 제시했습니다. AI가 아무리 똑똑해도 네트워크의 핵심 자산을 잘게 쪼개어 서로 통신하지 못하게 격리해둔다면, 침입자가 내부에서 옆으로 이동하며 데이터를 탈취하는 것을 원천적으로 차단할 수 있다는 것이죠. 하지만 이 역시 현실적인 장벽에 부딪혔습니다. AI 보안 기술 전문 패널은 이러한 고도화된 방어 시스템을 구축하기 위해서는 엄청난 컴퓨팅 리소스와 고품질의 데이터, 그리고 무엇보다 이를 운용할 전문가가 필요한데, 과연 일반적인 기업들이 이를 감당할 수 있겠느냐는 의문을 던졌습니다. 특히 중소기업의 경우, AI 보안 솔루션을 도입하는 비용 자체가 생존을 위협하는 수준이 될 수 있다는 우려가 쏟아졌습니다. 이에 대해 AI•기술법 전문가 관점의 패널은 중요한 법적 인사이트를 제공했는데요. 모든 기업이 AI 공격의 속도를 초 단위로 따라잡는 것은 현실적으로 불가능하며, 법이 요구하는 기준 역시 '무조건적인 방어'가 아니라 '위험 기반의 합리적 보안 조치'에 있다는 점을 강조했습니다. 기업이 자신의 자산 규모와 산업 특성에 맞게 최선을 다해 보안 정책을 수립하고, 그 과정을 투명하게 기록해 두는 것이 법적 책임을 면하는 핵심이라는 조언이었죠. 기술적인 속도 경쟁보다는 관리 체계의 내실을 다지는 것이 현실적인 해법이라는 논점으로 합의가 모였습니다. 3. 결론 : 완벽한 방패는 없지만 더 단단한 연결은 가능하다 토론을 마무리하며 AI 패널들은 한 가지 공통된 지점에 도달했습니다. 바로 AI 해킹은 이제 피할 수 없는 상수(常數)가 되었으며, 단순히 탐지율 100%를 장담하는 솔루션에 의존하기보다는 '침해를 당하더라도 피해를 최소화할 수 있는 복원력'을 갖춰야 한다는 점입니다. 위협 인텔리전스 분석 패널은 실시간 위협 피드를 수집하는 동적인 대응 체계를, 사이버 안보 패널은 핵심 자산의 물리적•논리적 격리를 끝까지 주장했지만, 결과적으로는 이 두 가지가 상호 보완적으로 결합해야 한다는 데 의견이 일치했습니다. 결국 AI로 인한 보안 위기는 기술의 문제인 동시에 거버넌스의 문제라는 것이 이번 토론의 핵심 인사이트였습니다. AI 공격의 진화 속도가 방어의 업데이트 속도를 앞지르는 것은 사실이지만, 그렇다고 해서 대응을 포기할 이유는 되지 않습니다. 오히려 AI를 방어 도구로 활용해 탐지의 정확도를 높이고, 기업 내부의 자산 목록을 명확히 관리하며, 침해 사고 발생 시 즉각적으로 대응할 수 있는 프로세스를 갖추는 것이 가장 강력한 방어선이 됩니다. AI 패널들은 2027년까지 AI 해킹 기여도를 명확히 입증하는 법적 선례가 나오기 전까지, 기업들이 자율적인 보안 가이드라인을 준수하며 기술적 성숙도를 높여가야 한다고 입을 모았습니다. 오늘 토론을 통해 본 AI 해킹의 위협은 단순한 공포 그 이상의 실질적인 과제를 우리에게 던져주었습니다. 해킹을 당했는지조차 모르는 암흑의 시간(Dwell Time)을 줄이기 위해, 이제 기업들은 AI라는 양날의 검을 어떻게 휘두를지 진지하게 고민해야 할 시점입니다. 완벽한 보안은 존재하지 않을지 모릅니다. 하지만 공격자보다 한 걸음 더 먼저 우리 시스템의 약점을 들여다보고, 실수를 인정하며 보완해가는 과정 자체가 이미 가장 앞선 보안의 시작일지도 모르겠습니다. ▶ 해당 보고서 보기 https://ameet.zdnet.co.kr/uploads/43080bfd.html ▶ 지디넷코리아가 리바랩스 'AMEET'과 공동 제공하는 AI 활용 기사입니다. 더 많은 보고서를 보시려면 'AI의 눈' 서비스로 이동해주세요. (☞ 보고서 서비스 바로가기)

2026.10.30 11:04AMEET

[인터뷰] 급증하는 AI 해킹…한국 강점 살린 '정책 기반 보안 자동화' 서둘러야

인공지능(AI) 발전과 맞물려 국내 주요 기업, 조직에서 해킹 사고가 잇따르는 가운데 IT 운영과 보안 대응 자동화 체계를 강화해야 한다는 제언이 나왔다. 전통적인 인프라 보안 역량은 높지만 플랫폼 관리와 개발 과정의 자동화는 상대적으로 부족한 만큼 기존 보안 정책 수립 역량을 활용해 인공지능(AI) 시대에 맞는 운영 체계를 구축해야 한다는 분석이다. 빈센트 칼데이라 레드햇 아시아태평양(APAC) 최고기술책임자(CTO)는 27일 서울 강남구 웨스틴 서울 파르나스에서 열린 '레드햇 서밋: 커넥트 2026' 현장에서 한국의 보안 환경을 평가하고 대안으로 '정책 기반 자동화'를 제시했다. 그는 "한국은 전통적인 인프라 영역에서 강력한 보안 문화를 갖추고 있으며 시스템 설계와 인프라를 검토하는 체계도 잘 마련돼 있다"며 "다만 한국과 비슷한 수준의 인프라를 갖춘 다른 국가들은 자동화를 훨씬 더 적극적으로 도입하고 있는 만큼 플랫폼 관리와 개발 영역에서도 자동화를 확대할 필요가 있다"고 말했다. 그러면서 "특히 플랫폼 엔지니어링이 실무 관행으로 충분히 자리 잡지 못했다"며 "기술 자체보다는 조직 문화와 업무 방식 문제가 최근 급증한 보안사고의 원인일 가능성이 있다"고 분석했다. "한국의 섬세한 정책 설계 역량, 보안 자동화에 활용해야" 국내 상황에 맞춰 칼데이라 CTO가 제시한 해법은 '정책 기반 자동화(Policy-driven automation)'다. 기존 프로세스 기반 자동화가 사람이 수행하던 업무 절차를 그대로 시스템에 옮기는 방식이라면 정책 기반 자동화는 조직이 준수해야 할 보안·운영 기준을 먼저 정의하고 시스템이 이를 지속적으로 충족하도록 하는 접근법이다. 그는 "한국은 정책을 매우 구체적으로 정의할 수 있는 역량을 갖추고 있다"며 "사람의 업무 절차를 그대로 자동화하기보다 정책에 따라 시스템이 작동하도록 만드는 방식이 더 적합할 수 있다"고 설명했다. 기존의 엄격한 보안 정책 수립 역량을 자동화 체계 구축에 활용할 수 있다는 의미다. AI 에이전트 운영에서도 이러한 정책 중심 접근이 중요하다고 강조했다. AI가 생성하는 결과를 사람이 일일이 검증하는 방식은 대규모 운영에 한계가 있다는 설명이다. 빈센트 칼데이라 CTO는 "AI가 생성하는 모든 결과를 사람이 검증하는 것은 현실적으로 어렵고, AI 시스템을 도입하는 가치도 떨어뜨린다"며 "사람은 AI 시스템의 목표와 행동 범위를 정의하고, 안전장치가 효과적으로 작동하는지 평가하는 역할을 맡아야 한다"고 말했다. 이어 "사람이 개별 작업을 승인하는 '휴먼 인 더 루프(Human-in-the-loop)'에서 시스템 전반을 감독하는 '휴먼 온 더 루프(Human-on-the-loop)'로의 전환이 필요하다"고 덧붙였다. 제로데이 공격 불가피…패치 넘어 피해 확산 막아야 빈센트 칼데이라 CTO는 AI를 활용한 사이버 공격이 고도화되는 상황에서 취약점을 발견한 뒤 개별 기업이 패치하는 기존 방식만으로는 대응하기 어렵다고 지적했다. 방대한 오픈소스 라이브러리에서 발생하는 취약점을 공동으로 분석하고, 실제 악용 가능성에 따라 대응 우선순위를 정하는 체계가 필요하다는 설명이다. 레드햇은 이를 위해 IBM과 함께 오픈소스 공급망 보안 체계 '라이트웰(Lightwell)'을 추진하고 있다. 여러 기업에서 발견된 취약점 정보를 모아 위험도를 평가하고, 대응 우선순위에 따라 보안 수정 사항을 마련해 오픈소스 커뮤니티와 공유하는 방식이다. 이를 통해 기업별 중복 대응을 줄이고 취약점 해결 속도를 높이는 것이 목표다. 레드햇은 라이트웰 참여 기업을 대상으로 잠재적 취약점 정보를 확보한 뒤 관련 오픈소스 라이브러리에 수정 사항을 반영하기까지의 초기 서비스 수준 목표를 14일로 설정했다. 칼데이라 CTO는 "14일은 취약점 노출 위험과 실제 대응 가능성 사이의 균형을 고려한 기간"이라고 설명했다. 실제로 취약점 패치 속도를 아무리 높이더라도 알려지지 않은 제로데이 공격까지 완전히 막을 수는 없다는 것이 그의 판단이다. 따라서 취약점을 신속하게 수정하는 동시에 공격 가능성을 사전에 줄이고 침해가 발생하더라도 피해가 확산되지 않도록 대비해야 한다고 강조했다. 이를 위한 대응 원칙으로 공격 표면 축소, 소프트웨어 공급망 보호, 심층 방어 등 세 가지를 제시했다. 불필요한 소프트웨어 구성요소를 제거해 공격받을 수 있는 범위를 줄이고, 개발·배포 과정에서 소프트웨어의 무결성을 검증하는 방식이다. 또한 개별 시스템과 AI 에이전트의 접근 권한 및 실행 환경을 격리해 침해가 다른 시스템으로 확산되는 것을 막아야 한다고 설명했다. 취약점 대응 우선순위 역시 단순한 위험도 점수에 의존하기보다 실제 운영 환경에서 악용될 가능성을 기준으로 판단해야 한다고 덧붙였다. 칼데이라 CTO는 AI 기반 보안 체계를 구축할 때 특정 외부 모델에 대한 의존도도 고려해야 한다고 조언했다. 앤트로픽의 AI 모델 '미토스(Mythos)'를 언급하며 최근 다양한 AI 모델이 강력한 성능을 보여주지만 조직 내부에서 통제할 수 없는 단일 모델에 전체 소프트웨어 공급망 보안을 의존해서는 안 된다"고 말했다. 이어 "외부 AI모델은 제공업체가 자체적인 사업적 결정을 내릴 수 있고 소속된 국가 규제를 받기도 한다"며 "대표적으로 올해 초 발생했던 미토스 서비스 제한은 정치적인 문제가 아니라 IT 보안 관점에서 기술 주권이 왜 중요한지 보여주는 사례"라고 강조했다.

2026.10.28 11:08남혁우 기자

[AI는 지금] 코히어, 알리바바 '큐원' 보안 우려 제기…中 AI 신뢰성 논란 확산

중국산 인공지능(AI) 모델이 저렴한 비용과 높은 성능을 앞세워 글로벌 시장에서 영향력을 확대하는 가운데 캐나다 AI 기업 코히어가 알리바바의 '큐원(Qwen)' 모델에 보안 우려를 제기했다. 기업이 AI 모델을 자체 서버에서 운영하더라도 예상치 못한 외부 통신이 발생할 수 있다는 주장으로, 오픈웨이트 모델의 신뢰성을 둘러싼 논쟁이 기업용 AI 시장의 새로운 경쟁 요소로 떠오를 전망이다. 28일 로이터통신과 코히어에 따르면 코히어는 지난 26일 공개한 보안 연구 결과에서 알리바바의 '큐원3.8-플래시-넥스트' 모델이 보안 테스트 도중 중국 베이징에 있는 알리바바 클라우드 저장소로 데이터를 전송하려 했다고 밝혔다. 해당 모델은 악성 파일의 다운로드와 실행을 탐지하는 보안 규칙을 작성하라는 요청을 받았지만, 실제로는 실행 환경을 조사하고 외부 서버에 테스트용 문자열을 전송하는 명령을 실행한 것으로 나타났다. 또 이 모델은 임시 디렉터리의 파일 목록과 데이터 전송 도구 설치 여부, 네트워크 설정 등을 확인한 뒤 외부 서버 접속을 시도했다. 특히 모델의 추론 기록에는 별도 도구를 호출하지 않겠다는 내용이 담겼지만 실제 행동은 이와 달랐다. 이에 AI 에이전트의 추론 기록만으로 시스템 접근이나 명령 실행을 통제하기 어렵다는 우려가 제기되고 있다. 다만 실제 데이터 유출은 발생하지 않았다. 코히어가 구축한 테스트 환경에서 외부 네트워크 연결이 차단됐기 때문이다. 해당 행동도 전체 평가 과정에서 10만 건당 1건 미만으로 관찰됐으며 동일한 요청을 다시 실행했을 때는 정상적인 보안 규칙이 작성됐다. 코히어는 이번 행동이 의도적으로 설계된 백도어인지, 모델 학습 과정에서 남은 데이터의 영향인지 확인하지 못했다고 설명했다. 모델이 외부 서버 접속을 시도했다는 사실만으로 알리바바가 정보 유출 기능을 의도적으로 삽입했다고 판단하기는 어렵다는 의미다. 이번 발표가 주목받는 이유는 중국산 오픈웨이트 모델이 기업용 AI 시장에서 빠르게 확산하고 있기 때문이다. 코히어가 인용한 허깅페이스 자료에 따르면 올해 3월까지 1년간 중국산 모델은 전체 다운로드의 41%를 차지했다. 기업들은 외부 클라우드에 데이터를 전송하지 않고 자체 인프라에서 모델을 운영할 수 있다는 점에서 오픈웨이트 모델을 활용해 왔다. 하지만 AI 에이전트가 파일을 읽고 프로그램을 실행하거나 외부 시스템에 접근하는 업무까지 수행하면서 보안 관리 범위도 넓어지고 있다. 자체 서버에 모델을 구축했더라도 실행 권한과 네트워크 접근이 허용된다면 예상치 못한 명령이 실제 시스템에 영향을 줄 가능성이 있다는 것이다. 코히어의 이번 발표는 기업용 AI 시장에서 중국산 모델과 경쟁하는 자사 사업 전략과도 연결된다. 코히어는 정부와 금융기관, 규제 산업을 대상으로 소버린 AI 사업을 확대하고 있으며 고객이 자체 서버나 프라이빗 클라우드에서 모델을 운영할 수 있도록 지원하고 있다. 이번 연구도 보안 기업 아일(AISLE) 인수를 통해 확보한 '코히어 사이버'와 공동으로 진행했다. 또 코히어는 모델 성능과 가격뿐 아니라 학습 데이터의 출처, 개발 과정의 보안 검증, 모델 공급망 관리까지 기업의 도입 기준에 포함해야 한다고 강조했다. 특히 정부와 중요 인프라 운영기관을 대상으로 오픈웨이트 모델의 출처와 학습 환경에 대한 검증을 강화할 것을 촉구했다. 이는 저비용 모델 중심으로 확산하는 시장 경쟁에서 보안 신뢰성과 공급망 투명성을 차별화 요소로 부각하려는 움직임으로 풀이된다. 그러나 코히어 역시 자체 AI 모델을 판매하는 경쟁사라는 점에서 연구 결과에 대한 추가 검증이 필요하다는 지적도 제기됐다. 일부 연구자들은 예상치 못한 외부 서버 호출이 악의적인 기능보다 학습 환경에서 습득한 명령 패턴에서 비롯됐을 가능성을 제기했다. 코히어는 외부 개발자들이 연구 결과를 검증할 수 있도록 실행 기록과 재현용 코드를 공개했다. AI 모델의 신뢰성을 둘러싼 논의는 향후 기업과 정부의 AI 도입 기준에도 영향을 미칠 것으로 예상된다. 특히 다양한 외부 도구를 활용하는 AI 에이전트가 확산하면서 모델 개발사의 보안 검증 능력과 학습 과정의 투명성이 중요해질 가능성이 크다. 코히어는 "자체 서버에서 모델을 운영하는 것은 모델이 실행되는 위치를 결정할 뿐 학습 과정에서 습득한 내용까지 통제하는 것은 아니다"며 "조직은 모델의 출처를 확인하고 개발 과정을 투명하게 설명할 수 있는 공급업체와 협력해야 한다"고 강조했다.

2026.10.28 09:22장유미 기자

'모두의 AI 해킹' 시대 왔나…개인정보 820만건 탈취 일당 덜미

IT 비전공자가 독학한 해킹 기술에 생성형 인공지능(AI)을 더해 국내 업체 90여곳에서 개인정보 등 820만건을 빼낸 혐의를 받는 일당이 경찰에 검거됐다. 누구든지 AI를 이용해 해킹을 저지를 수 있다는 걸 보여준 사례로 평가된다. 서울경찰청 사이버수사과는 26일 정보통신망 침해와 공갈 등의 혐의로 총책 A씨(32)를 지난 23일 공소청에 구속 송치했다고 밝혔다. 경찰은 신고가 접수된 15개 업체에서 개인정보 약 90만건을 탈취한 혐의를 우선 적용했다. 공범 6명은 불구속 상태로 송치했다. 경찰에 따르면 생성형 AI를 악용한 대규모 해킹 범죄 피의자를 국내에서 검거한 것은 이번이 처음이다. A씨 일당은 지난해 9월부터 이달 초순까지 13개월 동안 학원, 병원, 골프장, 대학, 상조회사, 대기업 계열사 등의 전산망에 침입해 개인정보와 사내 자료를 빼냈다. 탈취 자료를 공개하겠다며 38개 업체에 3억 6000만원을 요구했다. 성과는 빈약했다. 돈을 낸 곳은 1곳, 액수는 30만원이다. 피해를 신고한 업체는 15곳뿐이며 나머지 75곳가량은 아직 신고하지 않았다. 경찰이 파악한 유출 규모는 ▲보험판매업체 3곳 322만건 ▲상조회사 3곳 143만건 ▲골프장 21곳 120만건 ▲학원 12곳 99만건 등이다. A씨는 혼자서 해킹을 익힌 IT 비전공자지만 2019년부터 3년간 보안업체에서 모의해킹 업무를 맡은 경력이 있다. 범행 초기에는 웹사이트 취약점 탐색 도구를 직접 다뤘다. 지난 8월 말부터 생성형 AI를 본격적으로 쓰면서 공격 대상이 무차별로 늘었다. 피해 업체 가운데 60곳은 생성형 AI로 뚫었고 여기에 걸린 기간은 40일 남짓이다. A씨는 AI 자율 침투 테스트 도구인 아르텍스에 코딩 에이전트 도구를 결합해 썼다. 아르텍스는 중국에서 개발한 오픈소스로, 이달 초 신한은행, KB국민은행, 하나은행 등에서 잇따라 확인된 금융권 해킹에도 쓰인 것으로 알려졌다. 마이크로소프트는 지난 21일 중국과 연계된 해킹조직이 이 도구로 전 세계 수백 개 기관을 공격했다고 밝혔다. 수사는 지난 6월 피해 업체 한 곳이 진정서를 낸 것을 계기로 시작했다. 경찰은 7월부터 9월까지 공범 5명을 차례로 검거했고 이달 초 텔레그램으로 범행을 지시한 20대 B씨를 붙잡았다. 이어 해킹 기록을 분석해 총책을 특정하고 지난 15일 A씨를 체포했다. 경찰은 내부망 생성형 AI 분석체계를 구축해 수사에 활용했다. 서울경찰청은 "전문 해커 조직이 아니어도 AI의 도움을 받으면 대규모 해킹이 가능해졌다"며 "AI가 사이버 범죄의 진입 장벽을 낮추고 있다"고 설명했다.

2026.10.27 07:47박광하 기자

국정자원, AI 해킹 대응 보안 강화…정부 클라우드 관리체계 개편

국가정보자원관리원(국정자원)이 인공지능(AI)을 활용한 해킹 위협에 대응하기 위해 정부 행정망 보안체계를 강화하고 민관협력형 클라우드 관리체계 개편에 나선다. 기존 업무시스템 단위로 운영하던 보안 서비스를 중앙집중형으로 재구성하고 이중 보안관제 체계를 구축해 정부 정보시스템의 안정성을 높인다는 방침이다. 행정안전부 국정자원은 21일 정부세종청사에서 중앙부처와 공공기관 정보화 담당자 등 300여 명이 참석한 가운데 '2026년 입주기관 협의회'를 개최했다고 밝혔다. 이번 협의회는 AI를 활용한 해킹 위협 등 사이버보안에 대한 관심이 높아지는 가운데 정부 정보시스템 보안 대응체계를 점검하고 민관협력형 클라우드 운영 안정성과 보안성을 강화하기 위해 마련됐다. 국정자원은 이날 보안 강화를 위한 주요 현안과 대응 방안을 공유하고 재해복구시스템(DR) 구축 현황, 정보시스템 안정성 확보를 위한 정책 추진 상황 등을 설명했다. 우선 AI 활용 해킹에 대응하기 위해 행정망 웹 취약점 점검을 확대하고 발견된 취약점에 대한 긴급조치 방안을 공유했다. 민관협력형 클라우드 보안체계도 개편한다. 국정자원은 기존 업무시스템별로 운영하던 보안 서비스를 중앙집중형으로 재구성해 이중 보안관제·탐지·대응 체계를 구축하는 방안을 제시했다. 클라우드 운영 관리체계는 통합 클라우드 관리형 서비스(MSP) 방식으로 전환할 계획이다. 이를 통해 민관협력형 클라우드 운영 안정성과 보안성을 강화한다는 구상이다. 국정자원은 국가 핵심 정보시스템의 중단 없는 운영을 위해 추진 중인 DR 구축 사업 진행 상황도 공유했다. 재난이나 장애 발생에 대비해 정부 서비스 연속성을 확보하기 위한 사업이다. 이와 함께 지난 4월 제정된 '행정기관 및 공공기관 정보시스템 안정성 고시' 주요 내용을 설명하고 입주기관이 준수해야 할 사항을 안내했다. 정부 정보시스템 클라우드 네이티브 전환을 위한 절차와 지원 사항도 공유했다. 아울러 민간클라우드 이전 대상 선정 기준과 관련 지원 정책을 입주기관들과 공유했다. 협의회에선 입주기관 담당자들이 사전에 제출한 질문과 평소 궁금했던 사항에 답변하는 시간도 마련됐다. 국정자원은 정부 정보시스템 운영과 보안 강화, 클라우드 전환 과정에서 기관 간 협력을 확대한다는 목표다. 하승철 국가정보자원관리원장은 "AI 해킹 위협이 현실로 다가오는 상황에서 보안 강화를 위한 범정부 차원 대응이 그 어느 때보다 중요하다"며 "DR 구축과 클라우드 네이티브 전환 등 정부 서비스 안정성 확보를 위해 입주기관의 적극 협력과 지원을 부탁드린다"고 밝혔다.

2026.10.21 17:14한정호 기자

에버스핀, '에버세이프 웹'으로 금융·공공 등 AI 해킹위협 IP 21만여 개 탐지

인공지능(AI) 사이버보안 전문기업 에버스핀(대표 하영빈)은 웹 보안 솔루션 '에버세이프 웹'을 사용하는 고객사 100여 곳 가운데 탐지분석이 완료된 7곳에서 지난 9월부터 이달 17일까지 위협 IP 21만 784개를 탐지했다고 20일 밝혔다. 같은 기간 이들 고객사에서 탐지된 공격 시도는 6204만 6671건에 이른다. 금융권 해킹과 관련해 공개된 위협 IP는 6일 기준 27개다. 에버스핀은 확인된 고객사 7곳에서만 집계된 탐지 위협 IP수가 약 7800배에 이른다고 전했다. 에버스핀은 IP를 바꿔 가며 들어오는 자동화 공격은 알려진 IP 목록을 후행적 처리하기보다, IP 차단과 함께 자동화된 요청 자체를 실시간으로 차단하는 대응이 필요하다고 설명했다. 에버스핀 측은 “이번 수치는 집계에 협조한 7곳만을 대상으로 한 결과이므로 에버세이프 웹을 사용하는 나머지 수치를 추가로 분석해 집계하면, 탐지된 규모는 훨씬 커질 것”으로 내다봤다. 집계 대상 7곳은 금융권 3곳, 공공기관 2곳, 민간기업 2곳이다. 최근 금융권 침해사고로 주목받은 자동화 공격이 금융권에 그치지 않고 공공기관과 민간기업의 웹 서비스에서도 나타나고 있음이 확인됐다. 에버세이프 웹은 동적표적방어(MTD·Moving Target Defense) 기술을 기반으로 한 웹 보안 솔루션이다. 웹 페이지에 적용되는 보안 코드를 매일 바꾸고 요청 URL과 데이터를 요청마다 변형해, 해커가 서비스를 분석하고 공격 도구를 만들기 어렵게 한다. 또 요청을 보낸 주체가 사람인지 자동화 프로그램인지 가려내기 때문에 위협 IP 목록에 없는 IP에서 들어오는 공격도 탐지할 수 있다. 하영빈 대표는 “이번 금융권 AI 기반 공격은 갑자기 등장한 새로운 위협이 아니라, 에버세이프 웹이 MTD 기술로 꾸준히 대응하며 지속적인 R&D를 거쳐 강화해 온 자동화 공격 유형”이라며 “금융권뿐 아니라 공공기관과 민간기업에서도 대규모 공격이 탐지됐다는 점에 주목해야 한다”고 말했다. 하 대표는 또 “AI 기술 발전으로 사이버 공격은 더 지능·자동화하고 있다”며 “실제 누적된 약 250억 건의 방대한 공격 차단 데이터를 확보한 유일한 기업으로 해당 데이타를 기반으로 더욱 연구개발해 탐지력을 계속 강화해 나가겠다”고 덧붙였다.

2026.10.20 10:14주문정 기자

4년 만에 국감장 출석한 5대 은행장…"AI 해킹 전제로 보안시스템 구축"

4년 만에 국회 정무위원회 국정감사에 5대 은행장(KB국민은행·신한은행·하나은행·NH농협은행·우리은행)이 증인으로 출석, 최근 벌어진 인공지능(AI) 활용 추정 해킹에 대해 사과하며 재발 방지를 위해 노력하겠다고 발언했다. 19일 서울 여의도 국회에서 열린 금융감독원 국감에서 김재섭 국민의힘 의원은 신한은행·KB국민은행·하나은행이 해킹으로 인한 개인 및 금융정보 유출에 관해 "피해 입증을 피해자에게 넘긴다"며 "5대 은행 보안 관련 집행 예산이 줄어들었고 정보 보호 예산도 감소했다"고 지적했다. 이와 관련해 정상혁 신한은행장은 "송구스럽다"고 답했다. 이환주 KB국민은행장은 "신뢰를 기본으로 해야할 금융기관에서 이번 사건 발생한 데에 대해 고객과 국민 여러분께 염려를 끼쳐 진심으로 사과한다"며 "앞으로 재발 방지를 위해서 지적해준 것처럼 예산·인력을 충분히 확보하고 프레임 자체를 AI도 해킹한다는 전제로 보안시스템을 AI로 할 수 있도록 최선의 노력을 다하겠다"고 답변했다. KB국민은행의 경우 1차 해킹 이후 제대로 대응하지 않고 있다가 2차 해킹으로 개인정보가 유출됐다는 김용만 더불어민주당 질문에 이 은행장은 "신속하게 대응하지 않은 점을 아쉽게 생각한다"고 말했다. 이호성 하나은행장은 "AI 해킹 피해에 대해 고객 심려 끼쳐서 죄송하다"며 "앞으로더 많은 예산과 인력을 확충해서 AI 시스템을 갖추고 AI 해킹을 대비해 피해가 재발하지 않도록 노력을 기울이겠다"고 대답했다. 이호성 은행장은 또 "피해를 입으면 보상을 해야하는 것은 지극히 정상적이다"며 "1차적으로 수수료 면제를 진행했으며 2차적으로 고객 동의 절차를 받아 금융안심보험 가입까지 해 2차 피해를 예방할 것"이라고 설명했다. 정진완 우리은행장은 "우리은행은 해킹 피해를 당하지 않았지만 이번엔 운이좋았다고 생각하고 있다"며 "하루에 200건 이상 해킹이 들어오는데 인력 부분이 미진할 수 있기 때문에 금융보안체계를 유지해 피해가 없도록 최선을 다하겠다"고 응답했다. 강태영 NH농협은행장은 "보안 관련 대책으로 2022년도에 구축한 차세대 관제시스템을 올해 고도화해서 철저한 보안이 될 수 있도록 만들겠다"고 전했다.

2026.10.19 16:33손희연 기자

은행 이어 가상자산 업계도 해킹…고팍스·프라뱅도 개인정보 유출

은행에 이어 상호금융(새마을금고중앙회)·저축은행·핀테크·가상자산 업계도 해킹으로 인해 개인정보가 유출된 것으로 확인됐다. 14일 금융위원회에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융회사는 전 업권에 걸쳐 총 16개사로 파악됐다. ▲은행업권(신한은행·국민은행·부산은행·하나은행) ▲저축은행업권(예가람저축은행·웰컴저축은행·DB저축은행·OK저축은행) ▲여신업권(현대캐피탈·산은캐피탈) ▲온라인투자연계업권(PFCT·모우다) ▲전자금융업권(브라이트픽스) ▲가상자산업권(스트리미·프라뱅) ▲상호금융업권(새마을금고중앙회) 등이다. 현재까지 확인된 금융회사의 정보 유출 규모는 이름과 연락처, 주민등록번호, 이메일 등을 포함해 약 10만건이다. 직접적인 부정 결제 우려가 있는 계좌 비밀번호나 카드 번호 등에 관한 유출은 확인되지 않은 상태다. 다만, 금융권 침해 사고는 더 확대될 가능성이 있다. 현재도 금융회사들이 공유된 IP 등을 바탕으로 침해발생 여부를 확인 중이다. 지난 8일까지 555개사 전 금융사에 대한 12개 항목 체크리스트를 점검한 결과 130개사는 미흡 사항이 있다는 점을 금융위에 보고했다. 미흡 항목으로는 보안패치·관제체계 관련 점검과 관련됐으며, 상대적으로 보안 역량이 약한 전자금융업권과 온라인투자연계업권에서 많은 미흡 사항이 보고됐다. 이날 신진창 금융위 사무처장 주재로 '제2차 긴급 상황대응 회의'에서는 금융권 보안 관리 체계 강화 방안이 논의됐다. 인공지능(AI) 해킹 위협에 대한 대응은 신속한 위협상황 인지와 조속한 공동대응이 중요한 만큼, 금융회사가 자체 파악한 위협정보도 통합관제시스템 등을 통해 공유할 수 있도록 시스템을 개선할 방침이다. 또 금융사가 AI 기반 취약점 점검 인프라 구축도 추진한다. 이밖에 금융사·전자금융업자를 대상으로 보안 취약점 점검·평가도 확대된다. 현재는 연 1회 정도가 이뤄지고 있지만, 고객수가 많은 대형 금융회사부터 취약점 점검·평가 주기를 연 2회 이상으로 늘릴 예정이다. 긴급한 필요가 있을 경우 수시점검 할 수 있는 근거를 마련하는 방안도 금융위는 추진한다는 복안이다. AI 보안위협에 대해 충분한 대응여력을 갖추기 어려운 중소형 금융회사 등에 대한 지원에도 나선다. 특히 대부업·보험 대리점업(GA)에 대해서도 AI 보안위협에 대한 대응 요령을 알리고, 보안 강화 방안도 검토한다. 신진창 사무처장은 “이번 사고를 계기로 전 금융권 보안관제 체계, CEO·이사회 등 책임성 확보 등 보안 체계 전반에 대한 철저한 재점검과 근본적 제도개선이 이뤄지도록 최선을 다할 것”이라며 "'AI공격은 AI로 방어'하는 보안체계를 확립하기 위한 망분리 규제 완화 등 제도 개선도 보다 면밀하고 속도감 있게 추진해 나가겠다”고 말했다.

2026.10.14 18:04손희연 기자

[AI는 지금] 해킹에 쓰인 AI, 스스로 복제까지…앤트로픽, 연내 가능성 경고

국내 금융권에서 인공지능(AI)을 활용한 해킹 공격이 잇따르는 가운데 AI가 사람의 추가 지시 없이 다른 기기로 옮겨 다니며 스스로 복제할 수 있다는 경고가 나왔다. 13일(현지시간) 로이터통신에 따르면 앤트로픽은 AI 기술 발전 속도가 이어질 경우 올해 말까지 소형 AI 모델도 스스로 다른 기기로 확산하는 데 필요한 능력을 갖출 수 있다고 분석했다. 제한된 시험망에서는 AI가 복제 작업을 수행하는 데 성공했으며 저렴한 스마트TV용 기기 15대를 연결해 AI 모델을 구동했다. AI 자기 복제는 AI가 새로운 컴퓨터나 스마트 기기를 찾아 자신의 모델과 실행 프로그램을 옮기고 그곳에서도 작동하도록 만드는 것을 뜻한다. 복제된 AI가 다시 다른 기기를 찾아 같은 작업을 반복하면 사람의 추가 명령 없이도 감염된 기기가 늘어날 수 있다. 앤트로픽은 AI가 처음 접하는 기기에서도 스스로 작동 방법을 찾아낼 수 있다고 설명했다. 기존 악성코드는 주로 미리 설계된 공격 방법을 사용하지만 AI는 기기의 환경에 맞춰 새로운 방법을 시도할 수 있다. 스마트TV뿐 아니라 냉장고와 로봇청소기, 보안카메라 등 다양한 기기로 확산할 가능성도 제기했다. 국내에서는 AI를 이용한 해킹 공격이 이미 확인됐다. 지난 9월 해커는 중국 AI 모델 딥시크 기반 AI 에이전트를 이용해 금융회사 서버의 보안 취약점을 탐색했다. 이후 취약점을 악용해 악성 프로그램을 설치하고 내부의 다른 서버까지 살펴봤지만 금융회사가 추가 공격을 차단했다. 금융보안원은 지난달 17일 금융회사 보안 담당자 160여명이 참석한 세미나에서 이 사례를 공개하며 AI를 활용한 사이버 공격의 위험성을 알렸다. 당시에는 해커가 AI에 명령을 내려 금융회사 서버에 침투했지만, 앤트로픽은 앞으로 AI가 사람의 추가 지시 없이 다른 기기를 찾아 스스로 확산할 가능성을 경고했다. 앤트로픽 실험에서는 이러한 복제 능력이 일부 확인됐다. 중국 AI 모델 'GLM-5.2'는 안드로이드 기기 8대를 모방한 가상 시험망에서 총 5차례 실험 중 4차례 모든 기기로 확산하는 데 성공했다. 나머지 한 차례에서도 7개 기기에 도달했다. 저렴한 가전제품을 이용한 AI 실행 실험도 진행됐다. 앤트로픽은 대당 약 55달러(약 7만원)인 저가형 안드로이드 TV 셋톱박스 15대를 연결해 260억개 매개변수를 가진 구글의 AI 모델 '젬마4-26B-A4B'를 실행했다. 작동 속도는 느렸지만 고가의 데이터센터 장비 없이도 저렴한 기기 여러 대로 AI를 구동할 수 있다는 사실을 확인했다. AI가 앞선 작업에서 얻은 경험을 다음 작업에 활용하는 능력도 확인됐다. 중국 AI 모델 '큐원3.5-9B'는 새로운 기기에 AI를 설치하는 실험에서 처음 45%의 성공률을 기록했다. 이전에 시도한 방법과 실패 원인을 다음 실행에 전달하자 성공률이 61~84%로 높아졌다. AI가 이전 기록을 참고해 같은 실수를 피하고 다른 해결 방법을 찾은 결과다. 앤트로픽은 여러 기기에 분산된 AI를 완전히 제거하기 어려울 수 있다고 경고했다. 일부 기기를 차단하더라도 다른 기기에서 계속 작동할 수 있기 때문이다. AI가 처음 접하는 기기에도 적응한다면 공격 대상이 더욱 넓어질 수 있다. 다만 실제 인터넷에서 AI가 사람의 통제 없이 스스로 복제하며 확산한 사례는 아직 확인되지 않았다. 저성능 기기에서는 AI를 설치하고 실행하는 데 하루 이상 걸리는 등 확산 속도도 느린 것으로 나타났다. 연구진은 AI가 기기 사이를 이동할 때 발생하는 대량의 데이터 전송과 비정상적인 통신을 감지하고 감염된 기기를 격리하는 방식으로 확산을 막을 수 있다고 설명했다. 기기 제조사의 보안 강화와 인터넷 서비스 제공업체의 공동 대응도 필요하다고 제시했다. 앤트로픽 연구진은 "우리는 이러한 복제 프로그램이 확산하기 어렵도록 시스템을 강화해야 한다"며 "동시에 이들이 계속 존재하는 세상에 대비해야 한다"고 밝혔다.

2026.10.14 10:21김동원 기자

IMF "금융사, AI 공격 위협 대응…인프라·기술기업까지도 넓게 봐야"

최근 국내 금융사 등을 타깃으로 인공지능(AI) 에이전트로 추정되는 해킹이 무작위로 진행된 가운데, 국제통화기금(IMF) 주요 인사들이 AI 공격 위협에 대응하기 위해선 금융사뿐만 아니라 인프라를 갖춘 기술 기업도 포함해 복원력을 갖출 수 있도록 해야 한다고 제언했다. 또 국정감사에서 지적된 중앙은행 디지털화폐(CBDC)의 개인 사생활 침해, 토큰화에 따른 금융 안정성에 관해 규제 프레임워크를 가다듬어야 한다고 조언했다. 지난 8일 IMF '글로벌 금융안정보고서(GFSR)' 세미나를 위해 한국을 방문한 IMF 주요 인사는 서울 중구 한국은행에서 기자들과 만나 인터뷰를 진행했다. IMF에 참석한 인물은 아타나시오스 밤바키디스(Athanasios Vamvakidis) IMF 부국장, 카이오 포네세카 페레이라(Caio Fonseca Ferreira) IMF 금융감독·규제 부처장, 곤잘로 페르난데스 디오니스(Gonzalo Fernandez Dionis) 선임 금융 전문가 등이다. 이들은 방한 당시 터졌던 국내 은행권 AI 공격에 대해 의견을 공유했다. 아타나시오스 부국장은 "AI는 위험을 초래할 뿐만 아니라 위험을 해결하는 데도 도움을 줄 수 있기 때문에 규제당국은 AI를 활용해 문제를 해결해야 한다"며 "위협에 단편적인 접근 방식이나 국가별로 대응하기 보다는 서로 소통하고 협력해야 한다"고 말했다. 특히 토큰화된 환경에서 결제시스템에 대한 AI 등에 의한 사이버 공격이 발생할 경우, 기존 금융시스템에 비해 더 빠르게 확산될 수 있다는 질의에 대해 아타나시오스 부국장은 "새로운 기술에는 새로운 기술에는 항상 이점과 위험이 따르기 마련이지만 AI는 다소 다르다고 볼 수 있다"며 "규제당국과 감독기관은 새로운 접근방식이 필요하다"고 덧붙였다. 다만 그는 "(사이버 위협이) 막 시작단계로 상황은 매우 빠르게 변화하고 있다"며 "사이버 전문가 부족 현상이 심각한 상태"라고 우려를 표했다. 카이오 부처장은 "선진국은 기본적인 방어 체계가 이미 잘 갖춰져 있지만 한 단계 더 나아가야 한다"며 "금융 부문 내 주요 인프라, 감염 확 산 경로, 운영 집중도 등을 명확히 파악하는 사이버 매핑 작업이 필요하다"고 진단했다. 이어 카이오 부처장은 "금융기관만 볼 게 아니라 에너지 공급업체나 인프라를 제공하는 다른 기술 기업 등 더 넓은 범위까지 고려해야 한다"며 "사이버 매핑 작업 시 핵심 인프라를 파악하고 시스템 전반에 걸친 복원력 테스트를 수행, 감독도 집중해야 한다"고 설명했다. 또 그는 "(IMF의) 정책적 권고 사항은 핵심 인프라가 정확히 무엇인지 명확히 이해하는 것이 중요하며, 소프트웨어 등과 관련된 시스템적 연결 고리와 그 경로를 파악하는 것이 중요하다"고 강조했다. 이밖에 중앙은행 CBDC에 관한 개인정보 침해 논란에 대해서도 입을 열었다. 아타나시오스 부국장은 "개인정보 보호 문제는 중요한 고려 사항이긴 하지만 해결할 수 있는 방법은 적절한 규제"라고 답변했다. 그는 그럼에도 "결제가 디지털화되는 세상에서는 중앙은행이 이 과정을 주도하고 중심에 있어야 한다"며 "신뢰가 무엇보다 중요하기 때문"이라고 부연했다. 카이오 부처장은 "사생활 침해 문제는 중요한 우려 사항"이라면서 "규제를 통해서도 해결할 수 있지만 프레임워크 설계를 통해서도 해결할 수 있다"고 언급했다. 그는 "토큰화에 관한 법적 지위에 대한 규제 명확성을 확보하고 중앙은행 화폐와 같은 안전하고 건전하며 확장 가능한 결제 자산을 확보하는게 필요하다"고 말했다.

2026.10.13 12:15손희연 기자

우리銀, 차세대 이상거래탐지 시스템에 생성형 AI 접목

우리은행이 생성형 인공지능(AI)과 통신 정보를 결합한 차세대 이상거래탐지(FDS) 시스템을 오는 11월 중부터 가동한다. 우리은행은 12일 신종 금융사기에 대한 대응 속도를 높이기 위해 차세대 FDS를 구축하고 있다고 밝혔다. 기존 FDS는 금융거래 정보를 중심으로 이상 거래를 탐지하지만, 이번 차세대 FDS에는 금융·통신 데이터 등을 토대로 파악된 보이스피싱 의심 정보와 로그인·상품 이용정보 등을 연계해 이상 거래를 탐지한다는 게 우리은행 측 설명이다. 또 생성형 AI를 통해 설정된 탐지 규칙 외에 신규 탐지 시나리오와 정책을 설립할 예정이다. 우리은행은 "오는 11월 신규 AI 모니터링 시스템을 가동한 뒤 연말까지 안정화를 추진할 계획"이라며 "AI 기반 탐지 역량과 전문 대응조직, 외부기관 협력·교육체계를 기반으로 대응체계를 정비하고, 조직 대응 역량을 높일 계획"이라고 설명했다. 정진완 우리은행장은 “피해가 발생한 뒤 구제하는 데 그치지 않고 위험징후를 한발 앞서 포착해 고객의 자금이 사기범에게 넘어가기 전에 차단하는 예방체계를 더욱 강화하겠다”고 말했다. 한편, 경찰청 조사 통계자료에 따르면 국내 금융사기 피해액은 2022년 7911억원에서 2025년 2조3755억원으로 3년 만에 약 3배 증가했다.

2026.10.12 14:30손희연 기자

에버스핀, '에버세이프 웹'으로 금융 고객사서 실제 ARTEX 공격 탐지

금융권의 잇따른 개인정보 유출과 인공지능(AI)을 활용한 자동화 공격 우려가 커지는 가운데, 에버스핀(대표 하영빈)이 AI 자율형 침투테스트 도구 '아르텍스(ARTEX)'의 특징이 확인된 공격 시도를 금융 고객사 서비스에서 탐지했다고 7일 밝혔다. 에버스핀에 따르면 공격 시도는 에버스핀의 웹 보안 솔루션인 '에버세이프 웹(Eversafe Web)'을 적용한 일부 고객사 서비스에서 확인됐다. 공격시도는 에버세이프 웹이 탐지했다. 에버스핀 관계자는 “AI 기반 공격 도구를 활용한 시도가 이미 실제 서비스 환경에서 발생하고 있다”며 “기존 에버세이프 웹 방어체계가 이러한 공격에도 작동하고 있다”고 설명했다. 에버스핀은 최근 공개된 금융권 침해사고를 분석하고 별도 샘플 웹 애플리케이션에서 ARTEX를 이용해 자동화 조회 방식을 검증한 '2026년 9~10월 금융권 침해사고 공격 경로 분석·재현·대응' 자료를 금융권에 공유했다고 전했다. 자료는 에버스핀 홈페이지에서도 내려받을 수 있도록 할 예정이다. 에버스핀은 이번 사고의 공격 흐름을 ▲외부에 공개된 사이트와 조회 화면 탐색 ▲인증 우회 ▲접수번호 등 입력값 대입 ▲IP를 변경하며 분산 반복 조회하는 네 단계로 분석했다. 특히 핵심 인터넷·모바일뱅킹이 아닌 직원·대출모집인용 업무 시스템과 각종 조회 서비스 등 외부에 노출된 보조 업무서비스가 공격 대상이 됐다는 점에 주목했다. ARTEX를 이용한 검증에서는 AI 도구가 웹 공격의 반복 작업을 얼마나 빠르게 자동화할 수 있는지도 확인했다. 보안 솔루션을 적용하지 않은 시연용 샘플 웹앱에서 ARTEX는 사람이 브라우저를 직접 조작하지 않고 조회 API를 호출해 정보를 반복적으로 요청했고 설정된 목표 작업을 6라운드, 22초 만에 완료했다. 이 과정에는 약 4만 4000개의 토큰이 사용됐다. 에버스핀 관계자는 “22초는 시연용 샘플 환경에서 설정한 특정 작업을 수행하는 데 걸린 시간으로, 실제 금융사 전체 시스템을 해킹하는 데 걸린 시간을 의미하지 않는다”고 전했다. 이 관계자는 “이번 검증 역시 실제 피해 금융사의 시스템을 공격하거나 전체 침해 과정을 재현한 것이 아니다”며 “AI 도구가 브라우저를 거치지 않고 API를 직접 호출하고 반복 작업을 자동화할 수 있다는 공격 특성을 확인하기 위해 진행했다”고 설명했다. 에버스핀은 이번 금융권 AI 해킹이 완전히 새로운 형태의 공격이라기보다, 에버세이프 웹이 과거부터 탐지·대응해 온 스크래핑, API 직접 호출, 반복 요청, 봇·매크로 등 기존 공격기법을 AI가 자동화하는 흐름과 맞닿아 있다고 분석했다. AI 봇이나 알려진 공격 패턴만을 식별하는 방식보다, 공격 과정에서 발생하는 비정상 요청과 반복·우회 행위 전반을 통제하는 방식이 필요하다는 설명이다. 에버세이프 웹은 AI 봇 탐지에 국한하지 않고 스크래핑 보호, 요청 재전송(리플레이) 공격 방어, 악성 봇·매크로 탐지 등 웹서비스를 대상으로 한 다양한 공격을 탐지하며, 정상적인 서비스 이용 과정에서 생성된 요청인지 서버단에서 검증한다. 특정 공격 유형이나 알려진 봇 패턴 하나를 탐지하는 데 그치지 않고, 자동화 공격에 사용되는 요청과 행위, 반복·우회 과정 전반을 방어 대상으로 삼는다. 에버스핀은 미국·한국·일본·중국 등 세계 11개국에서 특허를 받은 AI-동적표적방어(MTD·Moving Target Defense)를 기반으로 보안 코드와 구조를 지속적으로 바꿔 공격자가 한 차례 분석한 요청 구조나 우회 방식을 그대로 반복해서 사용하기 어렵게 만든다. 공격자가 직접 API를 호출하는 가장 단순한 방식이 통하지 않으면 브라우저를 자동화하거나 보호 로직을 분석해 요청을 다시 구성해야 하고, 보안 구조가 변경되면 분석 과정도 다시 거쳐야 한다. 에버스핀의 분석자료는 자동화 공격 방식을 HTTP 직접 호출, 브라우저 자동화, 보호 로직 분석 후 우회 등으로 구분하고 있다. 공격 방식이 복잡해질수록 브라우저 실행과 AI 판단, 보호 로직 분석 등에 필요한 시간과 연산량이 증가한다. 에버스핀은 공격을 한 번 탐지하는 데 그치는 것이 아니라, 공격자가 우회를 반복할수록 비용과 시간이 증가하도록 만들어 대량 공격의 효율을 낮추는 것을 AI 공격 대응의 핵심으로 보고 있다. 적용 범위도 차별화했다. 에버세이프 웹은 AI 봇이나 크리덴셜 스터핑(Credential Stuffing) 등 특정 공격 유형에 한정하지 않고 다양한 자동화·해킹 공격을 폭넓게 탐지한다. 또한 개발언어나 프레임워크에 관계 없이 적용할 수 있어, 서로 다른 기술 스택으로 구축된 금융사의 대고객 서비스와 업무용 웹서비스를 함께 보호할 수 있다. 금융권은 인터넷뱅킹과 대표 홈페이지는 물론 직원용 시스템, 대출모집인용 사이트, 각종 조회 서비스와 연계 API 등 서로 다른 시기와 개발환경에서 구축된 서비스를 함께 운영한다. 이번 침해사고처럼 핵심 서비스에 비해 주목도가 낮았던 보조 업무서비스가 공격 경로로 이용될 수 있는 만큼, 특정 서비스나 개발환경에 한정하지 않고 외부에 노출된 웹서비스 전반으로 보호 범위를 확대할 필요가 있다는 것이 에버스핀의 설명이다. 에버세이프 웹은 실제 서비스 환경에서도 대규모 공격을 지속적으로 탐지해 왔다. 회사 집계 기준 그동안 웹 환경에서 발생한 누적 수백억 건의 공격 시도를 탐지하며 금융·공공·커머스 등 다양한 서비스 환경에서 운영 경험을 축적해 왔다. 에버스핀 관계자는 “이런 운영 실적과 ARTEX의 특징이 확인된 공격 시도에 대한 탐지사례를 바탕으로 에버세이프 웹이 실전에서 검증된 기술”이라고 강조했다. 에버스핀은 이 같은 금융권 운영 경험을 바탕으로, AI 공격에 새롭게 대응하기보다 기존부터 구축해 온 자동화 공격 방어 기술을 금융사의 다양한 웹 환경으로 확대 적용할 계획이다. AI가 직접 API를 호출하거나 반복 작업과 우회 과정을 자동화하는 환경에서는 알려진 공격 패턴을 추가로 탐지하는 것만으로는 충분하지 않으며, 공격자가 동일한 방식을 반복적으로 재사용하기 어렵게 만드는 동적 방어가 중요하다는 설명이다. 에버스핀은 자동화 공격 방어가 기존 보안조치를 대체하는 것은 아니라고 전했다. 인증과 접근권한 관리, 취약점 개선, 조회 구조 보완과 횟수 제한, 공격 IP 관리 등을 기본으로 유지하면서 자동화된 요청 자체를 식별하고 통제하는 보안체계를 함께 적용해야 한다고 권고했다. 하영빈 에버스핀 대표는 “에버세이프 웹은 실제 ARTEX를 이용한 해킹 공격에서 탁월한 성능을 입증한 유일한 솔루션”이라며 “공격자가 방식을 바꿀 때마다 시간·컴퓨팅·토큰을 더 쓰게 해 AI를 이용한 대량 조회가 수지에 맞지 않게 하고 있고, 웹은 너무나도 다양하고 이런 공격을 막기 위해 도입된 솔루션으로 서비스 품질을 해치는 일이 잦기에 수많은 레퍼런스를 통해 검증된 솔루션으로 정상 사용자 서비스 품질까지 보장해야 한다”고 말했다.

2026.10.07 11:17주문정 기자

국민건강보험공단, AI 활용 해킹위협 대비 긴급 비상대책회의

국민건강보험공단(이하 건보공단)은 최근 금융기관을 중심으로 확산 중인 AI를 활용한 사이버공격과 고객 정보 유출사고가 발생함에 따라 지난 4일과 5일 긴급 자체 점검을 진행했다. 건보공단은 전 국민의 자격·보험료·진료내역 등 건강보험 개인정보가 외부 공격으로 유출될 수 있는 위험이 존재하는 만큼 현 상황의 심각성을 엄중히 인식하고 대비하기 위해 인터넷에 노출된 모든 서버, 홈페이지 등에 대한 전산망 접근통제 및 보안 취약점을 중심으로 집중적으로 진행했다고 설명했다. 이와 함께 지난 5일 강청희 국민건강보험공단 이사장 주재로 정보보안 강화 대책 논의를 위한 부서장 긴급 비상대책회의를 열고 ▲서버・홈페이지・VPN 등 외부 공격 접점 취약점 파악 및 진단 ▲사이버 위기대응 매뉴얼 관리・운영 대응체계 ▲외부해킹 공격유형별로 접근경로・인증체계·감시체계 등을 집중 점검하고 대응방안을 논의했다. 강청희 이사장은 “AI를 활용한 사이버 공격이 빠르게 확산되고 있는 상황에서 이를 막을 수 있는 보안 시스템 구축이 무엇보다 중요하다”라며 “지능화되어 가는 해킹 공격에 대비하여 AI가 스스로 공격을 탐지·대응하는 '자율 방어체계'를 신속히 구축·운영해 국민이 신뢰할 수 있도록 해달라”고 주문했다. 또 “정보보안은 선택이 아니라 국민 신뢰를 지키기 위한 공단의 최우선 책무”라며, 앞으로 1개월 동안 관련 부서가 함께 참여하는 대응반을 구성해 정보보안체계 전반에 대해 꼼꼼히 다시 한 번 점검하도록 지시했다.

2026.10.06 15:48조민규 기자

[최경진 未來法道] AI가 바꾼 것은 속도, 기본이 아니다

은행이 뚫렸다. 한두 곳이 아니다. 지난 9월 말부터 은행과 저축은행, 캐피탈사를 가리지 않고 개인정보 유출이 잇따라 확인됐고, 공격 시도를 받은 곳은 그보다 많다. 공공부문 유출 사고도 끊이지 않아 정부는 기관장에게까지 책임을 묻는 대책을 내놓았다. 대통령은 지난달 보안을 국가안보 관점에서 다뤄야 한다고 강조한 데 이어, 이번에도 철저한 조사와 대책 마련을 지시했다. 방향은 옳다. 데이터 유출과 정보시스템 침입은 보안사고이자 개인정보 침해이고, 동시에 국가안보 문제다. 데이터가 개인 삶이자 경제 자원이며 국가 전략 자산이 된 사회에서, 하나의 사고를 여러 층위에서 함께 보려는 시각은 그 자체로 진전이다. 사고를 한 부처, 한 법률의 눈으로만 보던 관행을 넘어서는 일이기도 하다. 걱정은 그다음이다. 사고에 AI 해킹이라는 이름이 붙자 'AI 공격은 AI로 방어한다'는 처방이 전면에 나섰다. 틀린 말은 아니다. 그러나 문제도 AI, 해법도 AI라는 구도가 전부가 되면 두 가지를 놓친다. 첫째는 원인이다. 'AI에 뚫렸다'는 말은 '기본을 놓쳤다'는 사실을 가린다. 법이 묻는 것도 공격자가 무엇을 썼느냐가 아니라, 마땅히 해야 할 조치를 다했느냐다. 둘째는 연속성이다. 우리는 이미 제로트러스트 가이드라인과 망분리 개선 로드맵, 범부처 정보보호 종합대책을 쌓아 왔다. 그 위에 이어지지 않은 채 새 간판만 단 'AI식 해법'은 현장에 단순히 과제 하나를 더 얹을 뿐이다. 망분리 논의도 이 연속성 위에서 봐야 한다. 금융과 공공부문은 획일적으로 망을 끊는 방식에서 벗어나, 위험과 정보의 중요도에 맞춰 통제하고 그 결과에 책임지는 방향으로 단계적으로 옮겨 왔다. 망분리 규제 완화와 역량 강화는 처음부터 한 묶음이었다. 사고가 났다고 다시 문을 걸어 잠그는 후퇴도, AI 시대라는 이유로 한꺼번에 빗장을 푸는 과속도 답이 아니다. 망분리가 맡아 온 역할을 대신할 통제가 자리 잡기 전에 걷어내면 그 자리가 곧 구멍이 되고, AI가 그 사각지대를 다 메워 주지도 않는다. 완화의 속도는 역량이 쌓이는 속도와 함께 가야 한다. 차근차근 다져 온 이 기조가 흔들려서는 안 된다. 이번 사고를 차분히 들여다보자. 당국 설명대로라면 뚫린 곳은 금융거래를 처리하는 핵심 시스템이 아니라 대출모집인·직원용 업무지원 시스템과 홈페이지 같은, 외부에 노출된 부가 시스템이었다. 초기에는 다른 곳에서 유출된 계정정보를 자동으로 대입하는 크리덴셜 스터핑(credential stuffing)이 지목됐고, 당국 조사에서는 본인확인이 빠진 조회 서비스, 누락된 접근통제, 이미 알려진 취약점이 드러났다. 어느 것도 새롭지 않다. 공격에 쓰인 것으로 추정되는 AI 도구도 누구나 내려받을 수 있는 자율형 침투테스트 도구로, 정보 수집부터 취약점 탐색, 기존 보안도구 실행까지를 자동으로 이어 붙인다. AI 시대에도 기존의 해킹 도구는 그대로 쓰인다. 달라진 것은 AI 에이전트가 취약점 탐지와 공격에 걸리는 시간을 줄이고, 동시에 수행하는 작업의 수를 늘린다는 점이다. 무기가 아니라 속도와 규모가 바뀌었고, 그만큼 방어자에게 주어진 시간은 짧아졌다. 그래서 답은 기본으로 돌아가는 데 있다. 다중인증, 비정상 접속 탐지와 차단, 외부에 노출된 자산 식별과 최소화, 발견한 취약점의 신속한 보완이 그것이다. 크리덴셜 스터핑이든 인증 우회든 이 기본기로 막을 수 있다. 실제로 같은 IP의 공격을 받고도 막아낸 기관들이 있었고, 그곳에는 추가 인증과 접속 단말 제한, 반복 접속의 자동 차단이 있었다. 같은 공격 앞에서 결과가 갈렸다면, 차이는 AI가 아니라 기본기에서 나온 것이다. 기본기의 출발점은 제로트러스트(Zero Trust)다. '아무것도 신뢰하지 말고 항상 검증하라'는 이 원칙은 솔루션 이름이기 전에 태도의 이름이고, 더 이상 보안 전문가만의 영역이 아니다. 모집인용이니, 직원용이니 괜찮으리라는 암묵적 신뢰가 바로 이번에 뚫린 자리다. 정책당국자, 정보보호 담당자, 정보를 실제로 다루는 모든 실무자, 나아가 일반 이용자까지 자신의 정보처리 환경이 안전한지를 늘 되묻고, 더 안전한 방법을 찾아 제대로 알고 실천해야 한다. 당국자는 편의를 위해 둔 예외가 안전한지를, 실무자는 건너뛴 인증 절차가 없는지를, 이용자는 쉽게 추론할 수 있는 비밀번호가 없는지를 스스로 묻는 일이다. 정책과 제도도 같은 원리 위에 서야 한다. AI는 공격 도구이면서 방어 도구다. 방대한 소스코드 취약점을 몇 시간 만에 찾아내는 능력은 좋은 방패가 된다. 그러나 AI는 수단이고, 목표는 취약점을 신속히 탐지하고, 패치를 만들고, 사고정보를 공유하고, 기민하게 대응하는 체계다. 미국 보안기업 크라우드스트라이크에 따르면 사이버 범죄 조직이 첫 침투 뒤 내부의 다른 시스템으로 옮겨 가는 데 걸린 시간은 지난해 평균 29분이었다. 그런데 이번에 공격을 알아채는 데 15시간이 걸린 곳이 있고, 사흘 가까이 걸린 곳도 있다고 한다. 한 은행을 두드린 IP는 다른 은행도 두드린 것으로 보인다. 한 기관의 사고정보가 곧 다른 기관의 방패인 이유다. 숨기는 쪽보다 빨리 알리고 함께 막는 쪽이 유리하도록 제도를 짜야 한다. 모든 사고를 막을 수는 없다. 그렇다면 얼마나 빨리 알아채고, 차단하고, 복구하는가를 물어야 한다. 이 사후대응 능력과 복원력(Resilience)은 사고 뒤에 덧붙이는 별도의 대책이 아니라, 안전조치 기준과 인증·평가 같은 기본 정보보호체계 안에 처음부터 내재화해야 한다. 탐지와 차단, 복구에 걸리는 시간을 미리 목표로 정해 관리하는 것이다. 별도의 체계를 새로 세우자는 것이 아니다. 이미 있는 기준과 제도에 복원력의 언어를 넣자는 것이다. 법과 기준 역시 특정 기술을 열거하기보다 원칙과 목표를 세우고, 기술 변화에 맞춰 신속하게 고쳐 쓸 수 있는 구조여야 한다. 제로트러스트를 출발점으로 삼아 복원력을 내재화한 정보보호체계를 세우고, 기술 변화에 유연하고 신속히 대응하는 제도를 갖춰야 한다. 또 정보를 수집해 파기하기까지 전 과정에 관여하는 모든 사람이 정보보호 리터러시를 갖추고 실천해야 한다. 에이전틱 AI 시대에도 쉽게 뚫리지 않고, 뚫려도 무너지지 않는 강건한 환경은 새로운 구호가 아니라 이 기본 위에서 만들어진다. AI가 바꾼 것은 속도다. 기본은 결코 바뀌지 않았다.

2026.10.05 16:19최경진 컬럼니스트

은행권, AI 해킹 가시화…"AI 위협, 국가적으로 대비해야"

최근 은행권 개인정보 유출 과정에서 중국산 오픈소스 인공지능(AI)기반 에이전트가 해킹 테스트 도구로 악용됐다는 진단이 나온 가운데, 국가적으로 AI기반 지속 위협(AiPt·AI-Powered Persistent Threats)에 대비하기 위한 노력이 필요하다는 진단이 나왔다. 문종현 지니언스시큐리티 센터장은 최근 링크드인을 통해 국내 여러 곳을 대상으로 수행한 공격과 관련해 분석한 결과 중국산 오픈소스 AI기반 에이전트가 활용됐을 가능성을 제기했다. 9월 30일부터 신한은행은 물론이고 KB국민은행, 하나은행서 개인정보가 유출됐으며 NH농협은행·우리은행에서도 탈취 위협이 있었던 것으로 나타났다. 이와 관련해 문종현 센터장은 "문자열 분석을 통해 'ARTEX AI'가 이용됐을 수 있다"며 "배후는 알 수 없지만, ARTEX AI는 2026년 중국 바이두 BSRC가 주도한 에이전트 플러스 공방 능력 챌린지에서 우승한 프로젝트로 공개된 바가 있다"고 설명했다. 그는 ARTEX AI는 단순한 AI분석 도구를 넘어, 공격 대상 탐색부터 취약점 발견 및 검증, 공격 경로 수립, 실제 보안 도구 실행까지 일련 과정을 연계 할 수 있는 오픈소스 기반 자율형 공격 침투 프레임워크라고 부연했다. 특히 ARTEX AI는 중국어를 중심으로 깃허브(GitHub)에 오픈소스로 공개된 대형언어모델(LLM)기반 자율형 침투 테스트 시스템이다. 문 센터장은 이를 두고 "AI자율 공격이 가시화됐다는 점이 핵심"이라며 "공격 과정이나 수위는 좀 더 내부 정밀조사를 통해 살펴봐야 하지만 오픈소스로 공개된 AI침투 테스트 도구가 누군가에게 매우 위험할 공격 도구가 될 수 있다는 점에서 각별한 주의가 필요하다는 점을 눈여겨 봐야 한다"고 강조했다. 이어 그는 "앞으로 AI와 APT가 결합된 국가 배후 AiPT공격이 증가할 수 있어 보안에 더 많은 관심과 투자가 필요하다"고 지적했다. APT 공격은 특정 대상을 목표로 삼아 장기간에 걸쳐 은밀하게 침투해 정보를 탈취하거나 시스템을 교란하는 지능적이고 지속적인 해킹 공격을 의미한다. AiPT 공격은 AI 에이전트와 도구를 활용해 보안 정찰, 취약점 악용, 내부 침투 및 잠복 단계를 스스로 자동화하여 수행하는 차세대 사이버 공격 유형이다.

2026.10.03 05:45손희연 기자

은행 전산망 잇단 해킹…금융 소비자 불안

국내 3대 은행이라고 부를 수 있는 KB국민은행·신한은행·하나은행서 외부 해킹으로 인한 개인정보 유출이 이뤄지면서, 금융소비자 불안이 고조되고 있다. 3일 금융업계에 따르면 30일 KB국민은행서는 직원용 업무시스템서 119명, 신한은행서는 대출중개모집인 채널을 통해 2만5000명, 하나은행 직원용 업무시스템서 89명의 이름·전화번호·주민등록번호·휴대전화번호 등 개인정보가 유출됐다. 이뿐만 아니라 우리은행에서도 해킹 정황이 발견됐으며, BNK부산은행서도 정보 유출이 일어난 것으로 전해졌다. 9월 30일 신한은행이 개인정보 탈취 현황을 금융감독원에 보고, 해킹 수법과 정보 유출 범위 등을 파악하는 과정서 은행권뿐만 아니라 전 금융권서 공유하는 과정서 유출 정황이 확인된 것으로 알려졌다. 금융당국 관계자는 "금감원 시스템에 전 금융권과 (해킹에 관한)정보를 공유하는데, (해킹을)인지한 금융사도 있지만 이를 통해 점검하는 과정서 확인한 곳도 있는 것으로 안다"고 설명했다. 해킹과 연관된 은행들은 외부 IP차단 등의 비상대응체계를 가동 중이지만, 미봉책에 불과하다는 지적이 나온다. 일각에서는 이번 공격을 인공지능(AI)에이전트의 소행이며 은행의 보안 취약점을 지속적으로 파고들어 문제가 더 커질 수 있다고도 관측한다. 황석진 동국대 국제정보보호대학원 교수는 "개인정보가 유출된 은행의 시스템은 외부 시스템으로 외부 IP차단만으로는 해킹을 해결할 수 없다"며 "다중 요소 인증(MFA)이나 '제로 트러스트' 등을 외부 솔루션에도 적용해야 한다"고 지적했다. 실제 외부서 관리되거나 외부와 연계된 솔루션을 통한 개인정보 탈취 사례는 우리은행에서 가장 먼저 벌어진 바 있다. 우리은행서는 지난 7월 대체 불가 토큰(NFT) 플랫폼 구축 프로젝트를 수행한 외부 개발업체가 임의로 보관하고 있던 개인정보 1만7551건이 업체 직원 과실로 유출되는 일이 발생한 바 있다. 당시 우리은행은 외부업체와 연계한 작업에 대한 보안 수준을 격상했다. 이어 황 교수는 "은행이 사용하는 전산망이 확대되고 있음에도 불구하고 보안 격차는 높아지고 있는 것이 현실"이라며 "내부뿐만 아니라 다양한 시스템에 대한 공격에 대비해 보안 비용을 투자해야 한다"고 설명했다. 이와 관련해 금융당국은 내외부 시스템 보안 격차에 대비할 수 있는 방안을 고심 중에 있다. 금융위 관계자는 "보안 격차에 대비하기 위한 규제 정비 등을 고민하고 있다"면서도 "AI 에이전트 공격 등이 거론된 만큼 금융사들이 AI 공격에 대비하기 위해 AI를 쓸 수 있는 다양한 환경을 마련하기 위해서도 노력하겠다"고 답변했다.

2026.10.03 05:30손희연 기자

'사이버보안 컨퍼런스 2026' 7일 개막...금융 등 잇단 해킹 해법 모색

국내외에서 해킹 사고가 잇달으고 있는 가운데 공공과 민간의 국내 사이버보안 현주소를 알 수 있는 행사가 오는 7일 오후 서울 코엑스 3층 300호에서 열린다. 오후 1시 30분에 시작하는 이 행사는 AI페스타조직위원회와 서울시 정보보안과가 공동으로 주관한다. 행사 명칭은 '대한민국 사이버보안 컨퍼런스 2026'이다. 특히 이 행사는 국내 최대 인공지능(AI) 행사로 과기정통부의 AI주간에 열리는 'AI 페스타 26'이 열리는 기간에 동시에 개최된다. 6~8일 열리는 'AI페스타 2026'과 함께 열려..."미토스 이후 AI와 보안은 한몸처럼 움직여" 'AI페스타 2026'은 급변하는 AI 기술 전환기를 맞아 글로벌 빅테크와 국내 대표 기업들이 AI 생태계의 현주소와 다가올 미래를 조망하는 자리다. 오는 6일 코엑스에서 개막해 8일까지 3일간 열린다. 구글 딥마인드와 AWS, 앤트로픽, 화웨이, 젠스파크, IBM, 퍼플렉시티, 유니티, 밀라(Mila) 등 글로벌 AI 기업 및 기관에서 연사로 참여한다. 또 KT, 삼성SDS, 야놀자, 롯데이노베이트, 두산로보틱스, 메가존클라우드, NHN클라우드, 한컴그룹, 티맥스소프트, 더존비즈온 등 국내 주요 기업들도 대거 합류, AI 산업 전반의 최신 흐름을 공유한다. 지난 7월 등장한 '미토스' 이후 AI와 보안은 한 몸처럼 움직이는 형국이여서 이번 '대한민국 사이버보안 컨퍼런스 2026'에 시선이 더 쏠린다. 국내 산업계와 공공은 지난해에 이어 올해도 고도화한 사이버 공격과 보안 위협으로 몸살을 앓고 있다. 최근만해도 신한은행과 KB국민은행에서 해킹으로 고객 정보가 유출되는 사고가 발생했다. 국민 대상 포털서비스인 '정부24'도 지난 8월 시스템 취약이 나타났다. 이 외에도 올 1월 A그룹의 대규모 랜섬웨어 감염이 있었고, 3월에는 B회사도 랜섬웨어 공격을 당했다. 6월에는 국내 대형 OTT 플랫폼 티빙(TVING)에서도 침해사고가 발생했다. AI기술 발전으로 해커의 공격 표면이 크게 넓어진데다 큰 지식이 없어도 해킹을 할 수 있는 환경이 도래, 공공과 민간없이 언제 어디서나 대형 보안 사고가 터질 수 있는 상황이다. 와중에 열리는 '대한민국 사이버보안 컨퍼런스 2026'에서는 공공과 민간의 사이버보안과 개인정보보호 현황과 과제, 이와 관련한 신기술과 신제품을 다룬다. 이종혁 과기정통부 과장 'AI시대를 지탱하는 정보보호' 주제 발표 행사는 전국 보안공무원 단체 회장인 백종현 서울시 정보보안과장이의 환영사로 시작한다. 백 과장은 500곳이 넘는 전국보안공무원 및 공공기관이 참여하고 있는 전국보안공무원정책협의회(정보협) 회장이다. 한국인터넷진흥원(KISA) 출신 사이버보안 전문가인 그는 지난 7월1일 서울시 정보보호 과장으로 취임했다. 전자서명과 인증, 국제표준화 활동에 매진해온 전문가로 ITU-T SG17 Q6 의장을 지냈다. 2010년 8월 KISA 무선인터넷팀장으로 재직 당시 '마르퀴즈 후즈후 인 더 월드(Marquis Who'sWho In The World)' 2011년 판에 등재된 바 있다. 오는 7일 행사에서는 서울시의 정보보호 정책과 '정보협'의 운영 방안을 설명한다. 이어 축사는 과기정통부 최우혁 실장과 개인정보보호위원회 양청삼 사무처장이 한다. 이후 본격적인 세션 발표로 이어진다. 세션1은 사이버보안 정책을, 세션2는 기술 트렌드를 다룬다. 세션1에서는 과기정통부 이종혁 정보보호산업과장과 개인정보보호위원회(개인정보위) 임종철 공공실태점검단장, 서울시 백종현 정보보안과장이 연사로 나선다. 과기정통부 산하 정보보호산업과는 국내 정보보호산업 성장과 활성화를 견인하는 조직이다. 정보보호네트워크정책관 아래에 있는 과 단위 조직으로, 정보보호산업과 외에 정보보호기획과와 사이버침해대응과가 속해 있다. 과기정통부는 지난 4월 16일 제7회 과학기술관계장관회의에서 '정보보호산업 육성 방안'을 발표한 바 있다. 방안에 따르면, '글로벌 정보보호산업 강국 도약'이라는 비전을 실현하기 위해 오는 2030년까지 정보보호산업 매출 규모 30조 원 달성, 매출액 500억 원 이상의 중대형 정보보호기업 80개사 육성, 수출액 5조 원 확대, 현장·실전형 최정예 보안인력 9천 명 확보에 나선다. 이날 이 과장은 'AI 시대를 지탱하는 정보보호 정책 방향'을 주제로 발표한다. 국내 사이버보안의 현 주소를 점검하고 AI 시대 사이버위협 환경 변화를 진단한 후 이에 대응하는 정책 방향을 소개한다. 임종철 개인정보위 공공실태점검단장 '개인정보보호 정책 방향' 설명 이 과장에 이어 임종철 개인정보위 공공실태점검단장이 '개인정보 보호 정책방향'을 들려준다. AI시대를 맞아 개인정보 정책 여건이 이전과 달라졌다. AI 해킹 등 신종 사이버 공격 확산으로 침해위협이 증가하고 있고, 전방위적 AI 전환과 데이터 활용 수요가 급증했다. 반면 민간과 공공 모두 개인정보 보호 투자 및 인력이 부족한 실정이고, 최고프라이버시임원(CPO)의 조직 내 책임 및 역할도 제한적이다. 개인정보 보호 체계의 대전환도 필요하다. 플랫폼, 공공기관 등 대규모 유출 파급력에 상응하는 높은 책임을 부여하고, 서면 중심과 형식적 점검에서 벗어나 현장중심과 실질적 보안 전환을 위한 예방보호투자를 촉진해야 한다. 불법유통 등에 대한 제재근거 마련과 적법처리근거 정비도 요구된다. 올해 개인정보위의 개인정보 보호 정책방향인 ▲사전예방 중심 보호 체계 강화 ▲ CEO와 CPO 중심 개인정보 관리체계 확립 ▲PbD(Privacy by Design, 설계 단계부터 개인정보 보호) 내재화 원칙 및 PbD 인증제 법제화 ▲선제적 점검 및 사후관리 강화 ▲실효적 제재 및 보호투자 인센티브 강화 ▲AX 혁신 개인정보 법제 개선 ▲국민 생활 속 프라이버시 보호 강화(스마트 디바이스, 딥페이크 등) ▲불법유통 등 국민 권리침해 대응 강화 ▲공공분야 개인정보 보호 강화 등으로, 임 단장은 이에 대한 상세한 설명을 한다. 올 하반기 입법과제인 개인정보보호법 개정 주요내용도 함께 소개한다. 임 단장이 맡고 있는 개보위 산하 공공실태점검단은 정부·지자체·공공기관이 국민 개인정보를 제대로 보호하고 있는지를 현장에 가 들여다보는 조직이다. 개보위가 강조하는 것이 사전예방이다. 즉, 기존에는 개인정보 유출 사고가 발생하면 조사하고 과징금·과태료·시정조치 등을 하는 사후 대응의 성격이 강했는데, 이제는 위험한 시스템을 찾고 → 사전에 취약점을 점검하고 → 문제를 발견하면 개선시키고 → 반복적으로 취약한 기관은 집중 관리하는 방식으로 바뀌었다. 임 단장은 이러한 개보위의 활동과 정책을 상세히 들려줄 예정이다. 임 단장 발표 후에는 백종현 서울시 정보보호과장이 서울시 정보보호 정책 및 전국정보보호정책협의회 현안을 발표한다. 앞서 서울시는 지난 8월 '사이버보안에 관한 조례 시행규칙안'을 입법예고 하는 등 16개 광역시도 중 선도적인 사이버보안 정책을 마련, 추진하고 있다. 최근에는 'AI 기반 사이버 위협 대응체계 전 기관 확대' 방안을 발표했다. 전국 보안 담당 공무원들 정보협 주요 현안 등 논의 이날 백 과장은 ▲서울시 정보보안·개인정보보호 주요 정책 및 추진현황 ▲사이버보안 조례 시행에 따른 시행규칙 제정 추진 ▲서울시 사이버보안 5개년 기본계획 수립 및 발전방향을 설명한다. 또 전국정보보호정책협의회 주요 현안으로 ▲전국정보보호정책협의회 회장 소개 ▲전국정보보호정책협의회 2026년 추진성과 공유 ▲지자체 정보보호 분야 공통 현안 및 향후 발전방향 을 논의한다. 두번째 세션인 기술트렌드에서는 스마트엠투엠 김호원 대표와 옥타코 유장현 팀장, 에브리존 홍승균 대표, 엔플러스랩 곽승희 이사가 각각 연사로 나선다. 김호원 스마트엠투엠대표는 부산대컴퓨터공학과 교수로 현재 한국정보보호학회 회장이기도 하다. 김호원 스마트엠투엠 대표 "미토스 능력은 어디서?...LLM 보안 등 설명" 김 대표는 이번 발표에서 ▲미토스(Mythos) 능력은 어디서 나오는지 ▲프론티어급 LLM이 보안취약성을 잘 찾는 이유는 무엇인지 ▲프론티어급 LLM을 국내에서 만든다면? ▲프론티어급AI의외부API를 활용할 경우 어떻게 되는 지를 설명한다. 또 LLM의 기술적 대안으로 부상한 에이전트오케스트레이션 기반의 소형특화모델(sLLM) 활용과 마이크로소프트(MS)의 'MDASH' 5단계 자율보안 분석 파이프라인과 중국 Qihoo(치후) 360의 Tulongfeng(투룽펑) 사례도 들려준다. 이외에 스마트엠투엠(SmartM2M)의 핵심 기술인 '스마트X(SmartX)'와 '스마트밸리더스(SmartValidus)'도 상세히 설명한다. '스마트X'는 사이버보안 분야에 특화한 모델과 멀티에이전트 구조로 이뤄졌다. '스마트밸리더스'는 LLM 모델 보안성을 검증하는 기술이다. 김 대표에 이어 옥타코 유장현 팀장은 'AI 에이전트 시대, 신뢰는 어떻게 검증되는가?'를 주제로 발표한다. AI시대를 맞아 접속 주체가 기존 '사람'에서 '사람+Agent'로 확장했다. 이 여파로 보안 사고도 증가 추세다. 공격자의 공격 표면이 이전과 달리 크게 확대됐기 때문이다. 유 팀장은 "AI에이전트 위험은 '모델'보다 '행동 권한'에서 더 크다"며 에이전트의 검증 문제를 진단한다. 홍승균 에브리존 대표는 국내외서 점점 기승을 부리는 랜섬웨어 해킹 동향과 자사의 랜섬웨어 대응 보안 제품(화이트디펜더)을 소개한다. '화이트디펜더'는 100% 시그니처리스(Signature-less) 행위 기반 탐지 보안 솔루션이다. 기존 백신처럼 이미 알려진 악성코드의 패턴을 찾아내는 방식에만 의존하지 않고, 파일 대량 변경·비정상적인 암호화·확장자 변조 등 랜섬웨어의 공격 행위 자체를 실시간으로 감시한다. 알려지지 않은 신·변종 랜섬웨어나 파일리스 공격에도 대응할 수 있게 설계했다. 홍승균 에브리존 대표 "랜섬웨어 대응 이렇게"...엔플러스랩, N2SF 적용 방안 설명 엔플러스랩 곽승희 이사는 'AI 시대 공공분야 N2SF 적용방안'을 설명한다. 올해 '국가 사이버보안 기본지침' 개정과 국가 망 보안체계(N2SF, National Network Security FRAMEwork) 도입으로, 기존의 획일적인 망분리 중심 보안정책이 정보 중요도에 따른 차등 보안체계로 전환됐다. 공공에서 AI와 클라우드 등 신기술 활용을 늘리기 위한 것이다. 신기술을 안전하게 활용하기 위해서는 기술 도입과 함께 기관의 업무환경과 정보의 중요도에 맞는 적절한 보안통제 방안을 마련해야 한다. 이번 행사에서 곽 이사는 N2SF 기본 개념과 적용 절차를 살피고, 공공기관에서 신기술 도입 시 고려해야 할 보안 이슈와 대응 방안을 데이터 'C/S/O' 등급분류와 보안 솔루션 적용 관점에서 설명한다. 이들 전문가 발표 외에 푸짐한 경품도 마련됐다. 추첨을 통해 1등에는 소니 핸드폰(WH-1000XM6)을 준다. 2등은 갤럭시 버즈4를, 3등은 네스프레소 버츄오 팝과 심라오라진바이더위켄드 각 1개를 준다. QR코드를 통해 참석명단을 제출하면 추첨을 통해 경품 수령자를 뽑는다.

2026.10.02 15:03방은주 기자

Prev 1 2 3 4 5 6 7 8 Next