AI 해커 막는 AI 화이트해커 뜬다…한국도 글로벌도 신기술 속속

인공지능(AI)을 활용한 사이버 공격이 고도화하면서 이를 역으로 활용해 해킹 위협을 찾아내는 'AI 화이트해커' 기술이 빠르게 부상하고 있다. 공격자가 AI를 이용해 침투 속도와 범위를 넓히는 만큼 방어 영역에서도 AI를 활용한 상시 모의해킹과 취약점 검증이 필요하다는 인식이 확산하는 모습이다.

AI 화이트해커는 실제 공격자의 시각에서 시스템의 취약점을 탐색하고 침투 가능성을 검증하는 기술이다. 정해진 주기에 맞춰 보안 취약점을 점검하는 기존 방식과 달리 AI가 공격 경로를 지속적으로 탐색하면서 실제 침투 가능성이 있는 위험을 사전에 확인할 수 있다는 점에서 새로운 보안 수단으로 주목받고 있다.

국내에서는 라온시큐어 가 AI 기반 자율 모의침투 플랫폼 '원해커(OneHacker)'를 선보이며 시장 공략에 나섰다. 원해커는 에이전틱 AI를 기반으로 침투 경로를 분석하고 시스템에 존재하는 보안상 허점을 찾아내는 AI 모의해킹 플랫폼이다.

점검할 시스템을 지정하면 AI가 복잡한 공격 시나리오를 스스로 구성하고 실행한다. 최근 공개된 시연 영상에서는 보안 전문가가 일주일가량 수행할 수 있는 작업을 수분 내 진행하는 모습을 선보였다. 금융기관처럼 민감한 데이터를 다루는 조직을 겨냥해 온프레미스 환경도 지원한다.

AI 기반 침투 기술이 실제 공격에 악용될 가능성이 커지면서 통제 장치의 중요성도 부각되고 있다. 최근 금융권 공격에 활용된 것으로 알려진 AI 침투 도구 '아르텍스(ARTEX)'가 대표적이다. 아르텍스는 당초 허가된 시스템의 보안 점검을 위해 개발됐지만 이용자의 권한이나 점검 범위를 통제하기 어렵다는 지적이 나왔다. 개발자가 이후 깃허브에서 소스코드를 비공개로 전환했지만 이미 배포된 복사본을 통한 악용 가능성은 여전히 남아 있다.

전문 보안기업들이 개발한 AI 모의침투 솔루션은 이와 달리 허가된 범위 안에서 공격을 재현하고 그 실행 과정까지 관리하는 데 초점을 맞춘다. 라온시큐어는 원해커에 AI의 자동화 능력과 전문 화이트해커의 분석 역량을 결합해 '통제 가능한 자율 모의해킹'을 구현했다는 설명이다.

특히 AI가 사용하는 도구와 실행 과정을 관리하는 '에이전트 하네스(Agent Harness)' 기술을 적용하고 전문 화이트해커의 분석을 더해 자율성뿐 아니라 전문성과 안전성까지 확보한다는 전략이다.

윤원석 라온시큐어 화이트햇센터장은 "AI가 공격의 속도와 규모를 바꿔놓은 만큼 방어 역시 AI를 활용해 진화해야 한다"며 "AI의 자율적인 취약점 탐색 능력과 숙련된 화이트해커의 전문성을 결합해 공격자가 악용하기 전에 위험을 발견하고 검증하는 체계가 중요하다"고 강조했다.

AI 화이트해커 기술 확산은 국내에만 국한된 현상이 아니다. 해외에서도 AI를 기반으로 보안 취약점을 선제적으로 찾아내고 실제 공격 가능성을 검증하는 기업들이 빠르게 성장하고 있다.

미국 AI 보안기업 호라이즌3.ai는 자율 모의침투 플랫폼 '노드제로(NodeZero)'를 앞세워 지난 8월 2억5000만달러의 투자를 유치했다. 기업가치는 20억달러를 넘어섰으며 전 세계 고객사도 7000곳 이상으로 확대됐다.

깃허브 코파일럿 개발을 이끌었던 인물이 설립한 엑스보우 역시 자율 해킹 기술을 앞세워 창업 약 2년 만에 기업가치 10억달러 이상의 유니콘 기업으로 성장했다. 이스라엘의 펜테라도 자동화 모의침투 테스트 검증 솔루션을 기반으로 60여 개국에 진출한 상태다.

시장 자체도 빠르게 커질 전망이다. 시장조사업체 마켓앤마켓은 글로벌 모의침투 시장 규모가 2025년 19억8000만달러(약 2조6587억원)에서 2031년 43억9000만달러(약 5조8900억원)로 성장할 것으로 내다봤다. 연평균 성장률은 14.2%에 달한다. AI 도입이 확산하면서 새로운 보안 위협이 증가하는 만큼 실제 공격 가능성을 검증하는 모의침투 수요도 함께 확대될 것이라는 분석이다.

국내에서는 특히 금융권을 중심으로 AI 기반 보안 기술 도입이 빨라질 것으로 예상된다. 최근 잇따른 해킹 사태를 계기로 주요 은행들이 정보보호 예산과 전문 인력 확대에 나선 데 이어 AI를 활용한 상시 취약점 점검, 자동 모의해킹, 공격 시뮬레이션 등 새로운 보안 체계 구축에도 속도를 내고 있다.

금융당국 역시 AI 보안 검증 체계 마련에 나섰다. 금융보안원은 지난 7일 AI 에이전트의 자율적인 실행 과정에서 발생할 수 있는 보안 위협에 대응하기 위해 6개 분야 17개 점검 항목으로 구성된 새로운 평가기준을 마련했다. 올해 말까지 시범 검증을 진행한 뒤 2027년부터 정식 적용할 계획이다. 앞서 금융감독원과 금융보안원은 블라인드 모의해킹 훈련도 기존 연 1회에서 연 2회로 확대하기로 했다.

업계에서는 AI 시대의 보안 경쟁력이 단순한 사후 대응을 넘어 실제 공격을 얼마나 빠르게 재현하고 차단할 수 있느냐에 달려 있다는 분석이 나온다.

업계 관계자는 "AI 공격이 일상화되는 시대에는 정기적인 취약점 점검만으로 고도화되는 위협에 대응하기 어렵다"며 "AI의 신속한 탐색 능력과 전문 화이트해커의 분석 역량을 결합해 실제 침투 가능성을 상시 검증하는 체계가 기업 보안의 새로운 경쟁력이 될 것"이라고 말했다.

장효원 기자 specialjhw@asiae.co.kr