[뉴스] AI 해커 vs AI 보안 시대 온다…기업도 스스로 더 자주 공격해야

세계 최고 해킹대회인 데프콘 CTF에서 한국 화이트해커 팀 ‘콜드 퓨전’은 AI를 새로운 팀원으로 투입했습니다. AI에게 단순히 문제의 답을 묻는 대신, 반복적이고 방대한 분석 작업을 맡겼습니다.

상대 팀이 실시간으로 적용한 패치를 분석해 어떤 취약점을 막으려 했는지 추적하고, 그 과정에서 새롭게 활용할 수 있는 우회 경로까지 탐색했습니다. 짧은 시간에 수많은 코드와 공격 가능성을 동시에 검토하는 일은 AI의 속도가 특히 빛을 발한 영역입니다.

그렇다면 AI가 해커를 대체한 것일까요? 실제 결과는 달랐습니다. AI는 존재하지 않는 취약점을 그럴듯하게 제시하거나, 실행할 수 없는 공격을 가능하다고 판단하기도 했습니다. 콜드 퓨전은 AI가 생성한 공격 코드를 별도로 구축한 동일 환경에서 직접 실행하며 결과를 검증했습니다.

분석 → 공격 방법 생성 → 실행 → 실패 원인 재분석이라는 과정을 반복한 것입니다. AI의 설명을 그대로 믿는 대신, 실제 공격이 성공하는지 확인하는 절차를 거쳤습니다.

결국 AI는 해커를 대신한 것이 아니라 해커의 능력을 증폭했습니다. 전문가가 직접 모든 코드를 살펴보는 대신, AI가 넓은 범위의 가능성을 빠르게 좁히고 사람은 최종 판단과 전략 수립에 집중하는 방식입니다. 같은 AI를 사용하더라도 어떤 정보를 제공하고, 문제를 어떻게 나누며, 결과 중 무엇을 신뢰할지 결정하는 역량에 따라 성과가 달라지는 이유입니다.

이 변화는 곧 AI 해커 vs AI 보안 시대 온다…기업도 스스로 더 자주 공격해야 한다는 현실을 보여줍니다. 취약점이나 코드 변경이 공개되는 즉시 공격 AI가 빈틈을 찾고, 방어 AI가 대응책을 분석하는 시대에는 기업 역시 공격자의 관점에서 시스템을 반복적으로 점검해야 합니다. 공격을 당한 뒤 대응하는 보안만으로는 부족합니다. AI를 활용해 더 빠르고 더 자주 스스로를 공격해보는 체계가 새로운 방어의 출발점이 될 것입니다.

AI 해커 vs AI 보안 시대 온다…기업도 스스로 더 자주 공격해야

취약점이 공개되는 순간, 공격 AI는 공격법을 찾고 방어 AI는 대응책을 계산하는 시대가 다가오고 있습니다. 이제 보안의 성패는 누가 먼저 움직이느냐에 달렸습니다. 외부 공격이 발생한 뒤 대응하는 방식만으로는 짧아진 공격 시간을 따라가기 어렵습니다.

기업이 선택할 수 있는 가장 현실적인 해법은 AI와 함께 스스로를 더 빠르고 자주 공격하는 체계를 갖추는 것입니다. 레드팀은 AI를 활용해 코드와 패치를 분석하고, 가능한 공격 경로를 동시에 탐색할 수 있습니다. 사람이 몇 가지 가능성에 집중하는 동안 AI는 훨씬 많은 공격 가설을 만들어 검증합니다.

다만 AI가 제시한 결과를 그대로 믿어서는 안 됩니다. 존재하지 않는 취약점이나 실제로는 실행할 수 없는 공격을 그럴듯하게 제시할 수 있기 때문입니다. 따라서 별도의 검증 환경에서 공격 코드를 직접 실행하고, 실패 원인을 다시 분석하는 과정이 필요합니다. 설명보다 중요한 것은 실제 실행 결과입니다.

결국 AI는 보안 전문가를 대체하는 도구가 아니라, 전문가가 판단해야 할 영역을 빠르게 좁혀주는 조력자에 가깝습니다. 어떤 정보를 제공하고 문제를 어떻게 나누는지, 결과 중 무엇을 신뢰할지는 여전히 사람의 몫입니다. 공격 AI와 방어 AI가 동시에 고도화되는 시대에는 ‘공격받지 않는 기업’보다 ‘스스로 먼저 공격해 약점을 고치는 기업’이 더 오래 살아남게 될 것입니다.

Reference

한국경제: https://www.hankyung.com/article/202608247984i