AI가 스스로 퍼지는 '웜'이 됐다 — 토론토대 연구가 보여준 자율 악성코드의 미래

컴퓨터 바이러스에서 가장 무서운 종류는 늘 ‘웜(worm)‘이었습니다. 사람이 클릭하지 않아도, 누가 시키지 않아도, 스스로 옆 기기로 기어가서 퍼지는 놈이죠. 그런데 이제 그 웜이 AI의 두뇌를 달았다면 어떨까요. 토론토대 연구진이 보여준 ‘AI 웜‘은 바로 그 질문을 현실로 끌고 왔습니다. 단순히 복제만 하는 게 아니라, 상황을 판단하고 스스로 다음 표적을 고르는 악성코드의 가능성을 실험으로 보여준 겁니다.

솔직히 말씀드리면, 이번 주제는 커뮤니티에서 아직 활발하게 논의되는 단계는 아닙니다. 최근 30일 사이 레딧 같은 곳에서 직접적인 토론 스레드를 찾기 어려웠어요. 그래서 오늘 글은 화제성 분석보다는 ‘이게 왜 중요한 변곡점인가‘를 짚는 쪽에 무게를 두려 합니다.

AI 웜이 기존 악성코드와 다른 점

전통적인 컴퓨터 웜은 정해진 각본대로 움직입니다. “이 포트가 열려 있으면 이 취약점을 찔러라” 같은 식이죠. 코드를 짠 사람이 미리 생각해둔 경로만 따라갑니다. 그래서 보안 업계는 그 패턴을 학습해서 막아왔습니다. 시그니처 기반 탐지라고 부르는 방식인데요. 쉽게 말하면 ‘범인의 몽타주’를 미리 뿌려두고 걸러내는 겁니다.

AI 웜의 무서운 점은 이 몽타주가 통하지 않는다는 데 있습니다. AI 에이전트가 핵심 역할을 하기 때문에, 상황마다 다르게 행동할 수 있거든요. 같은 목표라도 A 기기에서는 이 방법을, B 기기에서는 저 방법을 택합니다. 패턴이 매번 달라지니, 고정된 시그니처로 잡아내기가 훨씬 어려워집니다.

‘아무 온라인 기기나’ 노린다는 의미

이번 연구에서 특히 눈길을 끄는 표현은 ‘any online device’, 즉 인터넷에 연결된 어떤 기기든 표적이 될 수 있다는 부분입니다. 여기엔 우리가 흔히 떠올리는 PC나 서버뿐 아니라, 스마트 가전이나 IoT 기기처럼 보안이 허술한 장치들도 포함됩니다.

생각해보면 우리 집과 사무실에는 이미 수십 개의 ‘온라인 기기’가 있습니다. 공유기, CCTV, 스마트 스피커, 심지어 로봇청소기까지요. 문제는 이런 기기 상당수가 비밀번호 한 번 바꾸지 않은 채 방치된다는 겁니다. AI 웜이 이런 약한 고리를 스스로 찾아 들어간다면, 공격 표면은 우리가 상상하는 것보다 훨씬 넓어집니다.

왜 지금 이 연구가 중요한가

타이밍이 핵심입니다. 지금은 AI 에이전트가 막 실생활에 들어오는 시기입니다. 스스로 웹을 돌아다니고, 코드를 짜고, 다른 프로그램을 호출하는 자율 에이전트가 빠르게 늘고 있죠. 이런 능력은 생산성을 높여주지만, 동시에 악용되면 그대로 무기가 됩니다.

연구자들이 학교 실험실에서 이걸 증명했다는 건 두 가지 메시지를 담고 있습니다. 하나는 ‘이론이 아니라 실증 단계‘라는 경고입니다. 다른 하나는, 선한 연구자들이 먼저 만들어 공개함으로써 방어 쪽이 미리 대비할 시간을 벌어준다는 점입니다. 보안 연구는 늘 이런 식으로 발전해왔습니다. 공격을 먼저 상상해야 막을 수 있으니까요.

그래서 우리는 무엇을 해야 하나

당장 패닉에 빠질 필요는 없습니다. 이번 연구는 어디까지나 통제된 실험이고, 실제 야생에서 활개치는 AI 웜이 발견된 건 아닙니다. 다만 방향성은 분명합니다. 앞으로의 악성코드는 더 똑똑하고, 더 자율적이고, 더 예측하기 어려워질 겁니다.

기업이라면 AI 에이전트에 부여하는 권한을 최소한으로 줄이는 설계, 즉 ‘최소 권한 원칙‘을 다시 점검해야 합니다. 개인이라면 기본 중의 기본, 기기 비밀번호 변경과 펌웨어 업데이트부터 챙기는 게 여전히 가장 효과적인 방어입니다. AI가 똑똑해질수록, 역설적으로 우리가 자꾸 잊어버리는 기본기가 더 중요해지는 셈이죠.

AI는 이제 방패뿐 아니라 창도 들 수 있게 됐습니다. 똑똑해진 공격 앞에서, 여러분의 가장 약한 온라인 기기는 지금 어떤 상태인가요. 한 번쯤 점검해볼 시점입니다.