AI 해킹이 바꾼 게임의 규칙[김현정의 IT 세상]

[김현정 한국IBM 컨설팅 대표]이제 사이버 보안은 소수의 고도로 훈련된 해커 집단을 상정한 전략으로는 충분치 않다. 인공지능(AI) 이후의 세상에서는 누구나 정예 공격자가 될 수 있다고 전제해야 한다. 우리는 이미 해커가 아니라 AI와 경쟁하는 시대에 살고 있다. IBM 컨설팅 내 글로벌 위협 인텔리전스 및 보안 사고 전문 조직인 엑스포스가 2025년 발생한 4만 건 이상의 취약점 및 전 세계 사이버 보안 환경을 분석한 리포트가 이 현실을 냉정하게 증명한다. AI는 공격 기술을 고도화했을 뿐 아니라 소수 전문가에게만 허용되던 무기를 누구에게나 쥐여준 셈이다. 기업들은 이제 새로운 차원의 위협에 대비해야 하는 상황에 직면했다.

먼저 주목할 점은 공격의 첫 관문부터 바뀌었다는 사실이다. 엑스포스 분석에 따르면 아이디와 비밀번호 없이 침투 가능한 보안 취약점을 이용한 공격이 전년 대비 44% 증가해 가장 지배적인 초기 침투 경로로 부상했다. 이는 게임의 규칙이 달라졌음을 의미한다. 우리가 다단계 인증과 복잡한 패스워드 정책을 강화하는 동안 공격자들은 애초에 인증이 필요 없는 구멍을 AI로 더 빨리 찾는다. 방어자는 모든 구멍을 막아야 하는데 공격자는 단 하나의 구멍만 찾으면 되는 매우 비대칭적인 게임이 이미 시작됐다.

공급망은 이제 치열한 보안 전장(戰場)의 하나가 됐다. 엑스포스 분석 결과 2020년 이후 대규모 공급망 침해 건수가 4배 가까이 증가했다. 공격자는 더 이상 보안이 견고한 본사의 정면을 두드리지 않는다. 대신 협력사, 오픈 소스 생태계, 지속적 통합·지속적 배포(CI/CD) 파이프라인 등을 경유해 기업 내부로 우회 진입한다. 특히 AI 기반 코딩 도구는 소프트웨어 생산 속도를 비약적으로 높였지만 동시에 검증 안 된 코드가 공급망 전반에 흘러들어갈 수 있는 경로도 함께 넓혔다.

공격자들에게 AI는 공격 자동화 도구를 넘어 정찰, 침투, 공격 경로의 실시간 반복 개선까지 공격 라이프 사이클 전체를 운영하는 플랫폼으로까지 진화한 도구가 됐다. 이들은 AI로 대규모 데이터를 분석하고 취약점을 실시간으로 탐색하며 AI 기반 이미지·음성 합성으로 실존 인물과 구분하기 어려운 가짜 신원을 만들어 조직 내부자처럼 행동한다. 그리고 자연스러운 언어 구사 기능을 바탕으로 화상 회의에 참여하고 코드를 작성하고 업무 보고서를 제출하기까지 한다.

기업이 혁신을 위해 적극적으로 도입하고 있는 AI 플랫폼 역시 매우 좋은 공격의 표적이 되고 있다. 2025년 초 한 해커가 다크웹에 2000만 건의 챗GPT 계정 정보를 판다고 공개한 사건이 있었는데 이는 오픈AI 서버 침해가 아닌 개별 직원 기기에 잠입한 악성 코드가 자격 증명을 수집한 결과였다. 2250개 이상의 기업 직원들 계정을 탈취했고 직원들이 AI에 입력한 전략 회의 내용, 가격 협상, 고객 대응 방식 등이 그대로 공격자 손에 넘어갔다. 조직의 판단 체계와 의사 결정 구조를 교란할 수 있는 새로운 차원의 공격 표면이 열린 것이다.

엑스포스가 최근 분석을 통해 일관되게 지적하는 포인트는 명확하다. AI로 인해 신원(Identity) 기반 공격이 다변화·고도화하고 있기 때문에 기업의 보안 경쟁력 확보 체계가 근본적으로 바뀌어야 한다는 점이다. 신원 기반 위협을 포함한 전체 위협에 대해 AI 기반으로 탐지·대응하는 체계를 일차적으로 갖추고 사람 계정뿐 아니라 AI 에이전트, 자동화 도구, 서비스 계정과 머신 아이디까지 포함한 조직 전체의 신원 보안 상태를 실시간으로 검증·관리할 수 있어야 한다. 취약점 관리 역시 모든 것을 완벽히 막겠다는 것이 아니라 실제 공격자의 시각으로 위험도를 평가하고 우선순위를 실시간으로 결정하는 능동성을 확보하는 것을 목표로 삼아야 할 것이다.

AI가 조직의 신경망이 되는 시대에 기업의 리더들이 먼저 물어야 할 것은 공격자의 기술이나 속도가 아니다. 기업 스스로 디지털 신원을 중심에 둔 AI 시대 보안 운영 체계를 갖추었는가 하는 질문이다. 변화의 중심에는 기술이 있지만 그 조건을 정의하는 것은 리더십의 인식과 결단이다.