"AI 있는데 왜 다크웹에 돈을 써?"…올해 'DIY 악성코드' 변수로

[IT백과] 바이브 코딩 악용한 '바이브 해킹' 시대로

정보기술(IT) 영역에 관한 모든 지식을 압축해 풀이합니다. IT산업에 꼭 필요한 용어들을 소개하고, 살펴보면 좋을 쟁점들도 정리합니다. IT가 처음인 입문자라면 혹은 동향을 알고 싶은 전문가라면, 디지털데일리 'IT백과'를 참고하세요. <편집자주>

[디지털데일리 김보민기자] 밤낮 없이 코드를 짜는 개발자들의 부담을 덜 기술로 인공지능(AI)이 주목을 받고 있다. 프롬프트에 원하는 명령을 입력하기만 하면 AI가 대신 코드를 생성해주는 '바이브 코딩'이 현실이 되고 있다. 깃허브를 비롯한 오픈소스 플랫폼 기업은 AI 기능을 추가할 뿐만 아니라 오픈AI, 구글, 앤트로픽 등 코딩 에이전트를 한 곳에서 사용해볼 수 있는 통합 개발 환경을 구현하는 데 열을 올리고 있다.

그러자 혁신을 악용하려는 움직임도 빨라지기 시작했다. 해커는 코딩 지식 없이도 AI 도움을 받아 악성 앱과 웹서비스를 만들 수 있게 됐고, 공격 대상 시스템의 취약점을 분석할 수도 있게 됐다. 나만의 수제(DIY·Do It Yourself) 도구를 만드는 '바이브 해킹'이 대세로 떠오른 이유다.

바이브 해킹은 2025년 테슬라 출신 AI 전문가 안드레이 카르파시(Andrej Karpathy)가 대중화한 바이브 코딩에서 비롯된 개념이다. 바이브 코딩을 해킹 무기로 전락시킨 개념으로 거론되기도 한다. 해커는 AI를 사용해 악성코드를 생성하거나 공격을 자동화하고, 단기간에 악성 콘텐츠까지 만들 수 있게 됐다. 공격에 활용하고 싶은 익스플로잇을 '분위기(vibe)'로 설명하기만 하면 되기 때문에 코딩에 대한 전문 지식도 필요하지 않다. 해킹 도구를 판매하는 다크웹에 비용을 투자할 필요도 사라지고 있다.

바이브 해킹을 주의해야 한다는 경고는 지난해 하반기부터 이어지고 있다. 앤트로픽은 위협인텔리전스 보고서를 통해 자사 대형언어모델(LLM) '클로드'가 서비스형랜섬웨어(RaaS) 공격에 악용되고 있다고 보고했다. 공격자는 클로드 기반 AI 서비스를 활용해 노코드로 악성코드를 만든 뒤, 랜섬웨어 서비스로 이를 판매한 것으로 나타났다.

이 해커는 의료 분야를 포함한 17개 조직을 대상으로 피해자 심리에 맞춘 협박 문구를 생성했다. 또 다른 사례로는 코딩 역량이 제한적인 개인이 클로드를 이용해 암호화와 탐지 회피 기능을 갖춘 랜섬웨어를 제작해 판매하기도 했다. 웜GPT(WormGPT), 프로드GPT(FraudGPT) 등 탈옥 LLM 역시 악성 스크립트나 사기 인프라 생성에 활용됐다. 보고서는 "해커 혼자였다면 윈도 내부 구조를 악용할 기능까지 만들지 못했겠지만 AI 도움으로 완성도를 높일 수 있었다"고 평가했다.

악성코드를 만들 방법이 간편해진다면, 누구나 해커가 될 수 있는 시대가 온 것이나 마찬가지라는 평가도 나온다. 글로벌 위협분석 조직 체크포인트리서치는 "록빗과 같은 RaaS 조직 서비스가 중단되면서 제휴 업체들이 독립적으로 운영을 시작하거나 새로운 파트너십을 모집하고 있다"며 "규모가 작고 수명이 짧아 추적이 까다로운 공격자들이 늘어날 것"이라고 전망했다.

2026년에도 바이브 해킹을 활용한 공격이 늘어날 전망이다. '바이브스캐밍(Vibe Scamming)'을 우려하는 목소리도 제기되고 있다. 바이브스캐밍은 공격 대상자를 속일 수 있는 분위기의 메시지를 만들어 악용하는 사기 수법으로, 피싱과 같은 일상 위협에 악용될 가능성이 있다. 글로벌 기업들이 사고 재발을 막기 위해 취약점 정보를 공유하는 행위가 역효과를 낳을 수 있다는 경고도 나온다. 공격자가 해당 정보에 접근할 경우, 특정 기업이나 시스템을 뚫고 들어갈 방법을 파악해 바이브 해킹으로 공격 도구를 만들어낼 수 있기 때문이다.

보안기업 트렌드마이크로에 따르면 전문 업체들은 보안 사고나 위협이 발생할 경우 공격자 전술, 기법, 절차(TTP)를 보고서로 공개하고 있다. 해커는 보안 보고서와 블로그를 구독하고, 다른 공격자가 어떻게 위협을 가하고 있는지 파악하고 있다. 일례로 한 해커는 트렌드마이크로가 중국 연계 지능형지속위협(APT) 조직 '어스 알럭스(EARTH ALUX)'를 분석한 보고서를 활용해 바이브 해킹을 한 정황이 발견됐다. 해커는 분석 보고서를 참고해 통신 패턴을 모방하는 코드를 생성했고 백도어 구성요소도 모방했다.

트렌드마이크로는 "이러한 보고서는 특정 취약점, 악성코드 유포 메커니즘 및 탐지 회피 기법에 대한 정보를 제공한다"며 "기업이 위협 환경을 이해하는 데 도움이 되는 정보지만, 동시에 (해커가 악용할) 양날의 검이 될 수 있다"고 강조했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -