[IT세상]생성형 AI시대의 보안

김현정 한국IBM 컨설팅 대표

여기 누군가의 집을 노리는 도둑이 있다. 그런데 이 도둑이 집주인의 신분증과 현관 열쇠를 얻게 된다면? 이 집에 침투해서 원하는 물건을 훔쳐나오는 것은 식은 죽 먹기일 것이고, 사람들은 집주인의 부주의함을 탓할 것이다. 사이버 공간에서는 이런 일을 어렵지 않게 찾아볼 수 있다.

기업들의 사이버 보안의 중요성에 대한 인식은 점점 높아가고, 보안 솔루션에 대한 투자도 증가하고 있다. 그럼에도 여전히 많은 조직이 보안 침해 사고의 희생양이 되고 있다. 특히 올해에는 공격자들이 빠르게 침투할 수 있는 공격대상을 찾아내기 위해 AI에 투자하기 시작하면서 이 문제는 더욱 악화될 것으로 보인다.

IBM의 최정예 사이버 보안 조직인 엑스포스(X-Force)에서 최근 발표한 ‘2024 엑스포스 위협 인텔리전스 인덱스’ 보고서에 따르면, 지난 한 해 동안 전 세계적으로 사용자의 ID와 패스워드를 탈취해 이용한 사이버 공격이 71% 증가했다. 이는 사이버 범죄자들이 조직의 보안 시스템을 통과하는 데 저항이 가장 적은 경로를 찾기 때문이다. 조직원이 실제로 사용하고 있는 계정을 사용하는 경우, 공격자는 조직의 네트워크에 로그인하기만 하면 초기 보안 검사를 피할 수 있다. 이러한 침해는 합법적인 신원 증명을 이용하기 때문에 식별해내기가 훨씬 어렵고, 일반 사고보다 200% 더 복잡한 대응 조치가 필요하며, 해결에 드는 평균 비용도 가장 높다.

2023년에 상수도, 교통, 전기 등 중요 인프라에 대한 공격이 전 세계 공격의 약 70%를 차지한 것도 주목할만한 특징이다. 인프라에 문제가 생길 경우, 국민들의 생활에 미치는 피해나 영향이 크기 때문에 담당조직은 공격자들의 요구를 들어줄 가능성이 높고, 사이버 공격자들은 이 사실을 잘 알고 있다.

보고서는 유효한 계정과 자격 증명을 활용한 신원 기반 공격이 향후 몇 년 동안 계속 증가할 것이라는 예측과 함께, 생성형 AI가 공격자들의 최적화 도구로 자리 잡게 될 것이라는 예측도 내놓았다. 기업이 데이터를 요약하고 정리하는 데 생성 AI를 활용하려는 것처럼, 사이버 범죄자들도 공격에 가장 적합한 대상을 찾아내기 위해 수집한 수많은 손상된 데이터에 AI를 적용해서 쓸 수 있는 데이터를 뽑아내고, 정리할 수 있다. IBM 엑스포스 연구소는 2023년에만 다크웹 포럼에서 AI와 GPT에 관한 80만 개 이상의 게시물을 발견했다고 밝혔다.

사이버 범죄자들이 공격 방법을 계속 혁신함에 따라 위협은 점점 더 증가할 것으로 보이지만, 해결책이 없는 것은 아니다. 첫번째는 아이러니하게도 ‘기본을 챙기는 것’이다. 이 기본에는 임직원들의 보안 의식과 행동 양식을 위해 보안 교육을 지속적으로 실행하고, 보안 소프트웨어 및 시스템을 갖추고, 서버나 애플리케이션의 보안 패치를 바로바로 적용하는 것이 포함된다. 무엇보다 고위 임원들 중에는 그들의 기업은 보안에 대한 준비가 충분하다고 믿는 경우가 많은데, 이런 자신감은 특히 위험할 수 있다.

또 다른 하나는 ‘AI를 활용하는 것’이다. 사이버 범죄자들이 생성형 AI를 활용해 조직의 취약점을 파고들려고 한다면, 조직은 AI를 통해 사람들이 일일이 대응하기 어려운 대규모 공격들을 확인하고, 대응함으로써 부족한 인력을 메꾸고, 빠르게 공격에 대처할 수 있다. IBM 연구에 따르면 최대 85%의 보안 경보들을 보안 솔루션이 내장한 AI를 활용해 사람의 개입없이 해결할 수 있다고 한다.

생성형 AI 시대에 조직은 네트워크와 사용자의 접근 구조를 면밀히 검토한 보안에 대한 총체적인 접근 방식이 필요하다. 그렇지만 기본적인 보안 사항을 준수하면서, AI와 같은 혁신적인 기술을 도입, 활용하는 것이야 말로 AI 시대에 날로 발전해가는 사이버 공격에 가장 효과적으로 대비하는 방법일 것이다.