[서울=뉴시스]심지혜 기자 = 정부가 글로벌 인공지능(AI)발 사이버 공격 가능성에 대응하기 위한 정보보호 대책을 이르면 이달 말 내놓는다. 독자적인 '보안 특화 AI모델' 개발하는 방안 등이 담길 예정이다.

과학기술정보통신부는 8일 배경훈 부총리 겸 과기정통부 장관 주재로 간담회를 열고 AI 사이버 위협 대응 방안을 논의했다. 앤트로픽의 최신 AI 모델인 ‘미토스’ 등 고성능 AI가 해킹 도구로 전락할 수 있다는 위기감이 반영됐다.

이날 회의에는 SK텔레콤, 업스테이지, 모티프테크놀로지스 등 독자 파운데이션 모델 개발 참여기업과 주요 AI 기업, 한국정보보호학회장을 비롯한 AI 보안 분야 학계 전문가, 한국정보보호산업협회장을 비롯한 주요 정보보호기업 대표, 주요 기업  정보보호최고책임자(CISO) 등이 참석했다.

간담회에서 공개된 실험 결과는 충격적이다. 과기정통부와 한국인터넷진흥원(KISA)은 현재 공개된 AI 모델을 활용해 실제 서비스의 보안 상태를 점검했다. 그 결과, AI는 단 10분 만에 7개의 보안 취약점을 찾아냈다. 전문 해커가 수작업으로 며칠씩 매달려야 하는 일을 순식간에 끝낸 셈이다. 비밀번호를 몰라도 홈페이지에 접속할 수 있는 치명적인 경로까지 찾아냈다.

최우혁 과기정통부 정보보호네트워크정책실장은 "AI 프롬프팅(명령어 입력) 능력에 따라 결과가 달라지지만, 해커의 작업 속도를 비약적으로 높일 수 있다는 점을 확인했다"고 설명했다.

참석자들은 AI의 위협을 인정하면서도 지나친 공포는 경계했다. AI가 강력한 공격 수단이기도 하지만, 반대로 보안 사고를 막는 ‘강력한 방패’도 될 수 있기 때문이다.

정부는 AI의 공격을 100% 막는 것은 불가능하다고 보고 있다. 대신 누가 더 빨리 찾아내고 막느냐는 ‘속도전’에 집중할 계획이다.

우선 보안 전문가인 화이트해커가 합법적으로 시스템을 공격해 약점을 찾는 ‘모의 침투’를 제도적으로 허용하는 방안을 추진한다. 미리 때려보고 매를 맞으며 맷집을 키우겠다는 전략이다.

중장기적으로는 우리나라만의 ‘보안 특화 AI 모델’ 개발에도 나설 예정이다. 미토스나 GPT 같은 글로벌 AI에만 의존할 경우 국가 보안 정보가 유출되거나 종속될 수 있다는 우려 때문이다.

정부는 SK텔레콤이나 업스테이지 같은 국내 기업의 독자 AI 모델을 보안 전용으로 키우는 방안도 검토 중이다. 이른바 ‘K-보안 AI’를 만들어 우리 환경에 맞는 방어 체계를 갖추겠다는 취지다. 이와 동시에 앤트로픽, 오픈AI 등 글로벌 빅테크와의 보안 협력도 강화한다.

과기정통부는 이달 말에서 내달 초 사이에 최종 대응 방향을 공개할 예정이다. 내년도 예산과 제도 개선 과제도 상반기 안에 확정해 AI 보안 전쟁에 전면적으로 대비할 방침이다.

이날 간담회에서 참석자들은 미토스 같은 고성능 AI 모델이 사이버 보안 분야에 상당한 변화를 가져올 수 있다는 데 대체로 공감했다. AI가 취약점을 빠르게 찾고 방어력을 높이는 데 활용될 수 있지만, 동시에 공격 수단으로 활용될 수 있다는 점에서다.

특히 고성능 AI가 대규모 취약점을 찾아낼 가능성에 대한 우려가 제기됐다. 국내는 망분리 환경과 레거시 시스템 의존도가 높아 취약점이 발견되더라도 즉각적인 패치 적용이 쉽지 않다는 지적도 나왔다.

최 실장은 "기존 정보보호 패러다임만으로는 대응이 어렵다는 데 공감대가 있었다"며 "앞으로는 공격 자체를 완전히 막지 못했다는 책임보다 취약점을 얼마나 빠르게 감지하고 대응할 수 있는지가 중요해질 수 있다"고 말했다.

AI 기반 사이버 위협을 과도하게 해석해서는 안 된다는 의견도 나왔다. 일부 공격 전문 보안 기업들은 미토스 자체를 평가한 것은 아니지만, 현재 공개된 고성능 AI 모델의 성능만 놓고 보면 전문 해커 수준의 공격 역량을 갖췄다고 단정하기는 어렵다고 봤다.

최 실장은 "현재 공개된 최고 사양의 AI와 전문 해커와 비교하면, 아직은 AI가 상당한 능력을 가진 시스템이라고 보기 어렵다는 평가도 있다"며 "AI로 공격하는 성능이 나아지는 수준이라는 시각"이라고 설명했다.

그렇다고 AI 위협이 없다는 의미는 아니다. 참석자들은 AI가 전문 해커의 작업 속도를 높이고 취약점 탐지 과정을 보조할 수 있는 만큼 정부 차원의 대응 체계 마련은 필요하다는 데 의견을 모았다.

일부 참석자는 해외 사례를 참고할 필요가 있다는 의견을 냈다. 기업이나 기관이 정부에 IT 자산 목록을 제시하면 해당 자산과 관련된 취약점 정보를 신속히 알려주는 조기경보 체계가 필요하다는 취지다. 또 취약점 위험도를 분류하고 고위험 취약점의 경우 일정 기간 내 패치를 유도하거나 요구하는 제도도 참고할 필요가 있다는 의견이 제기됐다. 패치를 신속히 적용한 경우 해킹 사고 책임을 일부 완화하는 방안도 함께 논의할 수 있다는 시각도 나왔다.

◎공감언론 뉴시스 [email protected]

Copyright © NEWSIS.COM, 무단 전재 및 재배포 금지