AI로 공격 빨라졌는데…보안 조치엔 여전히 ‘수십 일’

인공지능(AI)이 보안 취약점을 찾아내고 사이버 공격을 자동화하는 속도가 빨라지고 있다. 최근 국내 금융권을 겨냥한 공격에서 AI 해킹 도구 ‘아르텍스(ARTEX)’의 사용 정황이 확인됐고, PHP와 Node.js에서도 AI를 활용해 치명적인 취약점이 발견됐다. AI로 공격 준비에 필요한 시간이 극단적으로 줄어드는 반면, 기업은 취약한 시스템을 찾아 보안 패치를 적용하는 데 여전히 최대 수십 일이 걸릴 수 있어 대응 역량에 대한 우려가 커지고 있다.

26일 보안업계에 따르면 마이크로소프트가 이달 발표한 ‘2026 디지털 방어 보고서’는 취약점이 실제 공격에 활용할 수 있는 형태로 만들어지기까지 걸리는 시간의 중앙값이 24시간 미만으로 줄었다고 분석했다. 반면 기업이 외부에 노출된 주요 취약점을 해결하는 데는 30~60일이 걸릴 수 있다고 지적했다. 측정 대상과 기준은 다르지만, 공격과 방어의 속도 차이를 보여주는 수치다.

AI가 공격 절차 자동화…취약점 발견도 빨라져

이러한 변화는 최근 공격 현장에서도 나타나고 있다. 최근 발견된 아르텍스 사례가 대표적이다. 크라우드스트라이크는 지난 7일 국내 금융기관을 겨냥한 공격자의 서버에서 아르텍스 설정 파일과 AI 코딩 도구 ‘클로드 코드(Claude Code)’의 작업 기록을 발견했다고 밝혔다. 아르텍스는 공격 대상의 정보를 수집하고 취약점을 탐색한 뒤, 분석 결과에 따라 공격 도구를 실행하는 과정을 자동화할 수 있다. 사람이 직접 수행하던 정보 수집과 공격 경로 탐색을 AI에 맡기는 방식이다.

보안기업 위즈가 지난 22일 공개한 분석에서는 아르텍스 관련 도구를 사용하는 공격자가 여러 소프트웨어 기업을 상대로 인증 우회와 계정 탈취 등을 시도한 정황도 확인됐다. 일부 공격 세션은 24~30시간 이어졌고, ���격에 사용한 인터넷주소(IP)가 차단되면 수분 안에 다른 주소로 바꿔 공격을 계속했다.

AI는 새로운 취약점을 발견하는 데에도 활용되고 있다. 지난 21일 공개된 ‘PHP투셸(PHP2Shell)’은 웹사이트 구축에 널리 사용되는 PHP 실행 환경의 치명적인 취약점 2건을 말한다. 위즈는 구글 제미나이와 오픈AI의 AI 모델을 활용해 오랫동안 드러나지 않���던 결함을 찾아내고 공격 가능성을 검증했다. 관련 취약점을 발견하는 데는 오픈AI 연구진도 별도로 기여한 것으로 알려졌다.

PHP투셸은 공식 보안 패치가 나오기 전부터 공격 시도가 확인됐다. 아마존 위협 인텔리전스팀은 패치 배포일인 21일보다 나흘 앞선 17일 취약점 악용 시도를 포착했다. 이후 실제 공격에 활용할 수 있는 코드도 빠르게 확산됐다.

같은 날 보안 업데이트가 공개된 Node.js에서도 AI가 발견에 기여한 취약점이 확인됐다. 데이터 압축 해제 기능의 결함으로 원격 코드 실행이 가능한 ‘노드투셸(Node2Shell)’이다. 오픈AI의 코덱스 시큐리티(Codex Security) 연구진이 신고했으며, 보안기업 임퍼바는 공개 하루 뒤 실제 Node.js 배포 환경에서 공격 재현에 성공했다. 다만 외부 서버를 대상으로 한 실제 침해 사례는 아직 확인되지 않아 PHP투셸만큼 파급력이 크지는 않은 상황이다.

아르텍스는 AI를 실제 공격에 활용한 사례이고, PHP투셸과 노드투셸은 AI가 취약점 발견에 기여한 사례로 성격은 다소 다르다. 하지만 모두 AI가 보안 취약점을 탐색하고 공격 가능성을 검증하는 데 필요한 시간과 전문성을 줄이고 있다는 점을 보여준다. 박세준 티오리 대표는 “공격이 AI의 속도로 진화하는 상황에서 사람이 수작업으로 대응하는 전통적인 방어 체계는 한계에 봉착할 수밖에 없다”고 말했다.

공격은 하루 만에 준비되는데…방어 체계는 제자리

문제는 이처럼 공격이 빨라지며 문제가 심각해지는 상황에서도 기업의 보안 조치에는 여전히 예전과 같은 수준의 시간이 필요하다는 데 있다. 취약점이 공개되면 기업 담당자들은 해당 소프트웨어를 사용하는 서버를 찾고, 실제 영향을 확인한 뒤 서비스 장애 가능성을 검토해 패치를 적용해야 한다. 여러 업체가 시스템을 나눠 관리하거나 오래된 소프트웨어를 사용하는 경우에는 이 과정이 더 복잡해진다.

특히 유지보수가 끝난 웹사이트나 오래된 시스템은 사용 중인 소프트웨어조차 제대로 파악하지 못하는 경우가 있다. 패치가 공개되더라도 적용 대상을 놓치거나 서비스 중단을 우려해 업데이트를 미루는 문제가 발생하는 이유다. 이기혁 중앙대 보안대학원 교수는 “국내 외주 사이트와 지자체·학교 홈페이지 등에 지원이 종료된 구버전 PHP가 방치된 경우가 많다”고 우려하며 “패치 대응 주기를 일 단위로 단축해야 한다”고 말했다.

하지만 기업의 AI 보안 활용은 아직 충분히 체계화되지 못한 상황이다. 보안교육·연구기관 SANS의 ‘2026 보안관제센터(SOC) 보고서’에 따르면 조사 대상 조직의 79%가 AI나 머신러닝 기술을 사용한다고 답했지만, 이를 정해진 보안 운영 절차에 통합한 조직은 36%에 그친 것으로 나타났다. 바라쿠다 네트웍스의 글로벌 조사에서도 응답 조직의 68%가 AI 관련 보안 위험에 대응할 전문 역량이 부족하다고 답했다.

보안업계는 공격에 대응하는 시간을 줄이기 위해 외부에 노출된 서버와 소프트웨어를 상시 파악하고, 실제 악용 가능성과 서비스 중요도에 따라 보안 조치의 우선순위를 정해야 한다고 본다. AI를 활용해 취약점을 탐색하고, 공격 경로를 검증하며, 이상 징후를 분석하는 것도 필요하다고 강조한다.

또 즉시 업데이트하기 어려운 시스템은 웹방화벽 등으로 공격을 임시 차단하되, 이후 정식 패치와 침해 흔적 확인 작업까지 조치가 이어져야 한다. AI가 정상 서비스를 잘못 차단하거나 시스템을 변경할 위험도 있는 만큼, 중요한 조치에는 사람의 승인과 결과 검증이 필요하다.

김경곤 런던 레이븐스번대 사이버보안과정 교수는 “취약점 발견과 공격 기술 개발에 필요한 시간과 전문성의 장벽이 낮아지면서 사이버공격과 방어의 속도는 더욱 빨라질 것”이라며 “앞으로 사이버보안의 경쟁력은 AI 기술 자체보다 이를 얼마나 전략적으로 활용하고 통제할 수 있는지에 달려 있다”고 밝혔다.

정종길 기자
jk2@chosunbiz.com