범죄자도 AI로 취약점을 찾는 시대 — 구글이 경고한 사이버 공격의 새 국면

“AI는 양날의 검"이라는 말, 그동안 너무 추상적이었죠. 그런데 이번엔 구글이 직접 숫자와 사례를 들고 나왔습니다. 범죄 해커들이 AI를 도구로 삼아 실제 소프트웨어의 결함을 캐내고 있다는 보고가 나온 겁니다. 더 이상 “언젠가 그럴 수도 있다"가 아니라 “이미 그러고 있다"의 영역으로 넘어왔습니다.

구글이 던진 경고, 무엇이 새로운가

이번 발표의 핵심은 단순히 “해커가 AI를 쓴다"가 아닙니다. 진짜 충격은 AI가 제로데이 취약점, 즉 아직 공개되지도 않은 보안 결함을 스스로 찾아내는 데 사용됐다는 점입니다.

지금까지 보안 업계의 암묵적 룰은 이랬습니다. 공격자는 결함을 하나 찾는 데 수 주에서 수 개월을 쏟아야 하고, 방어자는 그동안 패치를 준비할 수 있었습니다. 시간이 방어자의 편이었던 거죠. 그런데 AI가 이 균형을 깨고 있습니다. 모델이 코드 수십만 줄을 몇 분 만에 훑으면서 의심스러운 패턴을 짚어내고, 공격 시나리오까지 제안합니다.

구글은 이미 자사 보안팀이 같은 방식으로 AI를 활용해 결함을 발견해왔다고 밝힌 바 있습니다. 문제는 같은 무기가 반대편 손에도 쥐어졌다는 사실입니다.

공격과 방어의 비대칭이 무너진다

전통적으로 사이버 보안은 비대칭 게임이었습니다. 방어자는 모든 구멍을 막아야 하지만, 공격자는 단 하나만 뚫으면 됩니다. 여기에 AI가 들어오면 이 비대칭이 더 심해집니다.

• 방어자 입장: 자사 코드베이스만 점검하면 됩니다. 범위가 한정적이죠.
• 공격자 입장: 오픈소스 라이브러리, 상용 소프트웨어, 펌웨어 등 전 세계 코드를 무차별 스캔할 수 있습니다.

게다가 AI는 지치지 않고, 휴가도 안 가고, 인건비도 들지 않습니다. 한 명의 숙련된 해커가 수십 명분의 일을 처리할 수 있게 된다는 의미입니다. 보안 전문가들이 가장 두려워하는 시나리오, 즉 “취약점 발견 비용의 폭락"이 현실이 되고 있습니다.

진입장벽이 사라진다는 진짜 위험

더 무서운 건 따로 있습니다. 지금까지 고급 취약점 발굴은 극소수 엘리트 해커의 영역이었습니다. 어셈블리어를 읽고, 메모리 구조를 이해하고, 퍼징 도구를 다룰 줄 알아야 했죠.

그런데 AI 어시스턴트가 이걸 거의 다 대신해줍니다. 코드를 붙여넣고 “이 함수에서 발생할 수 있는 보안 문제를 찾아줘"라고 묻기만 하면 됩니다. 스크립트 키디(기성 도구만 쓰는 초보 해커)도 이제 그럴듯한 익스플로잇을 만들 수 있다는 뜻입니다. 범죄의 진입장벽이 무너지는 거죠.

이미 다크웹에서는 보안 가드레일을 제거한 “탈옥된 LLM"이 거래되고 있다는 보고도 나오고 있습니다. 정상 모델이 거부하는 악성 코드 작성을 아무렇지 않게 해주는 도구들입니다.

방어 쪽도 손 놓고 있진 않다

물론 방어 진영도 같은 무기를 듭니다. 구글의 OSS-Fuzz 프로젝트는 AI를 활용해 오픈소스 코드의 취약점을 사전 발견하고 패치하는 작업을 자동화하고 있습니다. 마이크로소프트, 메타 같은 빅테크들도 비슷한 AI 기반 보안 파이프라인을 구축 중입니다.

핵심은 속도 경쟁입니다. 공격자가 AI로 결함을 찾는 속도와, 방어자가 AI로 그 결함을 메우는 속도 중 어느 쪽이 더 빠른가. 이 질문이 향후 몇 년간 사이버 보안의 풍경을 결정할 겁니다.

기업 입장에서는 이제 “패치를 빠르게 적용한다"는 기본기가 더 중요해졌습니다. 발견된 취약점이 공격자에게 알려지는 시간 자체가 극단적으로 짧아지고 있기 때문입니다.

일반 사용자는 무엇을 해야 할까

솔직히 개인이 할 수 있는 일은 제한적입니다. 다만 몇 가지는 분명히 챙기는 게 좋습니다. 운영체제와 앱의 자동 업데이트를 켜두고, 2단계 인증을 활성화하고, 같은 비밀번호를 여러 사이트에 돌려쓰지 않는 것. 기본 중의 기본이지만, AI 시대엔 이 기본이 더 무거워졌습니다.

결국 우리는 보안 결함이 발견되는 속도가 인간의 손을 떠나기 시작한 시대에 들어섰습니다. 구글의 이번 발표는 “AI가 위험할 수 있다"는 막연한 경고가 아니라, “이미 무기로 쓰이고 있다"는 신호탄입니다. 여러분은 이런 변화 속에서 우리 사회가 어떤 규제와 합의를 만들어야 한다고 생각하시나요? 그리고 지금 쓰는 서비스의 보안, 마지막으로 점검해본 게 언제인가요?