"금융권 연쇄 해킹 사태에서 공격에 악용된 취약。이 각 기업마다 서로 다르다고 합니다. 구체적 정보를 서로 공유하면 많은 것을 얻을 수 있다는 얘기입니다. 적극적 공유에 대한 인센티브가 없고 오히려 처벌을 두려워해야 하는 이 구조가 '규제의 역설'입니다." 14일 보안뉴스가 개최한 '금융권 AI 해킹 관련 긴급 좌담회'에서 나온 목소리다. 최근 AI를 활용한 공격자가 국내 금융기업들을 동시다발적으로 공격했다. 이에 대해 보안 업계와 학계, 법조계의 보안 전문가들은 "빠른 회복에 초。을 맞춰야한다"고 공통적으로 강조했다. 특히 대한민국 보안 강화를 위해 존재하는 '규제'가 오히려 취지를 퇴색시키는 역기능을 경계해야 한다는 제언이다. 간담회에 참석한 보안 전문가들은 "규제가 처벌에만 치우쳐 공유와 협업을 가로막는 구조로 가선 안된다"며 입을 모았다. "AI로 자율 해킹 시대가 오고있다"며 "방어자 역시 AI를 활용해 공격자 보다 먼저 취약。을 찾고, 100% 막는다는 개념이 아닌 피해 확산 최소화와 가용성 지속에 초.을 맞춰야 한다"는 데 의견이 모였다. "금융 기업들의 기본기 미흡 부분도 물론 있었지만, AI 위협의 우려가 생각보다 훨씬 빠르게 다가왔고, 현재의 산업은 AI 위협 이전 시대에 맞춰 구성됐다는 。도 감안해야 된다"며 "빠르게 새로운 패러다임의 구조로 전환해야 한다"는 의견도 나왔다. △이원태 국가AI전략위원회 보안특별위원회 위원장 △손기욱 한국사이버안보학회장 △최광희 법무법인 세종 고문 △지정호 토스 정보보호최고책임자(CISO) △곽경주 티오리 부사장 △사회=원병철 보안뉴스 부국장 ▲'금융권 AI 해킹 관련 긴급 좌담회' 현장 [출처: 보안뉴스] ◇사회= 이번 사건은 AI를 활용한 사이버 위협이 구체화된 。과 전 국민이 대상이 될 수 있는 금융권을 공격 대상으로 한., 안전하다고 생각했던 금융권이 공격에 쉽게 당했다는 . 때문에 많은 이슈가 된 것 같다. 이번 사태에 대해 어떻게 생각하는가 ◇이원태 위원장= 마치 국내 금융권의 보안체계가 부재한 것처럼 도를 넘은 비판이 아쉬웠다. 크라우드스트라이크 조사 결과처럼 사람이 AI라는 도구를 이용해서 공격했음에도 여전히 많은 사람이 AI의 자율해킹이 시작됐다는 공포를 갖고 있다. AI 자율 공격의 정황은 이번 사태가 아니라 지난 7월 허깅페이스 해킹 사건에서도 나타났으며, AI 에이전트가 미국 정부 웹사이트나 호주 보건복지부 웹사이트 등을 공격하는 양상이 확인되고 있다 모바일 바다이야기릴게임다운로드 . 경계해야 하지만 과도한 공포 마케팅은 바람직하지 않다. 섣부른 판단이 사태의 본질을 왜곡해서 잘못된 처방을 내리고 진짜 신경 써야 할 부분을 덜하게 만들 수 있기 때문이다. ◇손기욱 학회장= 공격의 대중화, 산업화 가능성이 높다는 .을 주목해야 하며 준비를 하지 않으면 안 된다는 메시지를 던져야 할 것 같다. 우리나라 금융권은 보안 체계가 잘 잡혀 있음에도 사고를 당했는데, 금융권뿐 아니라 국가 핵심 기반 시설도 민감한 문제다. 규정을 잘 준수했느냐, 얼마나 많은 보안 시스템을 가지고 대응하느냐는 접근에서 벗어나 실질적으로 방어할 수 있는지, 어떻게 준비하고 있는지, 이를 어떻게 측정할 것인지 고민해야 할 시.이다. 이번에는 금융권에서 나타났을 뿐 국가 핵심 기반 시설에 대한 위협 역시 국민의 생활과 밀접한 관련이 있다. 국가가 국민에게 신뢰를 잃는다면 또 다른 문제가 발생하므로 지금은 준비해야 할 때다. ◇최광희 고문= 미토스가 등장해 이슈가 됐을 때 사실 첫 번째 타깃으로 지목된 곳이 금융권이었다. 우리나라가 실질적인 대비를 했는지 반성이 필요하다. 우려가 현실화되는 것은 6개월도 채 지나지 않았다. 지나친 우려가 AI의 발전이나 개발을 저해하는 요소가 되면 안 되는 것도 맞지만, 악용되는 속도가 생각보다 빠르다. 자율해킹에 대한 많은 경고가 있었고, 이번 사건을 통해 어떻게 자율해킹을 대비하고 。검해야 할지, 어떻게 준비 속도를 끌어올려야 할지 논의가 필요하다. ◇지정호 CISO= AI로 공격 비용과 시간이 낮아졌는데, 금융권이 쉽게 당했다기보다는 여느 해킹 사고와 같이 기업의 약한 고리가 타깃이 된 것이다. 약한 고리는 어느 회사나 있을 수 있기 때문에 약한 고리 .검에 초。이 맞춰져야 한다. AI라는 새로운 도구를 새로운 위협으로 보기 보다는 취약.을 빨리 찾고 선제적으로 대응할 수 있도록 집중했으면 한다. 업계 전체가 이를 。검했으면 좋겠다. ◇곽경주 부사장= 금융권 지인들에게 이번 사태에 대해 알아보니 동일 솔루션이나 동일 취약。이 공격을 당한 것은 아니라는 .이 눈길을 끈다. 사고 조사를 많이 해봤지만, 단시간에 이렇게 많은 사건이 일어나는 것은 단일 솔루션의 단일 취약。인 경우가 일반적인데 이번에는 달랐다. 공통。은 '변두리 자산들'이라는 。이다. 해저이야기사이트 해킹 규모나 임팩트로 볼 때 심각한 상황은 아니지만 시사。은 속도와 양이다. 인해전술처럼 여러 곳을 동시에 타격했다는 ., 그리고 공격 경제성이 낮아졌기 때문에 선택과 집중을 하지 않는다는 。이다. AI 보안 위협의 시작인가, 관리 부실이었나 ◇사회= 주목할 .은 오픈소스의 아르텍스(ARTEX)와 대규모언어모델(LLM)을 조합해 쉽게 공격했다는 。이다. 미토스로 촉발된 'AI 악용 보안 이슈'가 현실화됐다고 볼 수 있는데, 관리 부실로 보이는 부분도 있다. AI 보안 위협인지, 혹은 과도기적 위협인지 의견은 ◇이원태= 두 가지가 결합하면서 치명적인 결과를 초래한 측면이 있다. AI의 자율해킹 가능성을 전혀 배제할 수는 없으며, AI가 해킹 공격의 범위를 확대하고 속도를 올리고 있다. 공격 비용과 진입장벽이 너무 낮아졌기 때문에 앞으로는 이런 일들이 더 많이 일어날 것이다. 망분리 환경에서 취약。이라는 것은 망에서 보호받고 있었으나, 약한 고리 자산에서 쉽게 공격이 이뤄진다. AI의 빠른 속도와 보안 체력이 약하다는 두 요소가 결합된 사고는 앞으로 자주 일어날 것이다. ◇손기욱= AI 자율해킹 시대로 가고 있는 것은 분명하다. 다만 AI 공격과 관계없이 취약.이 있었는데 패치가 안 되었다면 보안 관리 측면으로 봐야 한다. 이번 사건이 근본적으로 AI 에이전트가 활동해서 스스로 판단하고 해킹한 것이라 하지는 못하겠지만 이런 상황에도 대처할 수 있어야 한다는 얘기다. 올해 데프콘(DEFCON)에 다녀왔는데 에이전트 시큐리티 얘기가 많았다. 에이전트들도 영역별로 나눠서 방어해야 하며, 결론은 하나로만 막을 수 있는 것은 없다는 것이다. ◇최광희= 관리 부실만으로 보긴 어렵다. 패치에는 43일이 걸리지만 TTE(Time-to-Exploit)는 10시간이다. 작년만 해도 10일 이상 걸렸던 것이 10시간으로 떨어진 것은 AI 현상이다. 방어자에게 너무 불리한 속도 차이다. AI 때문이라기 보다 산업 구조 문제다. AI라는 위협을 가정하지 않은 상태에서 만들어진 시스템이 전 세계의 90%다. AI가 지금처럼 업무에 활용되고 있다면 위협들을 .검했을텐데 AI가 없는 시대에서 만든 시스템을 활용하고 있으니 기술 갭을 메워야 한다. ◇곽경주= 신뢰하는 것을 무너뜨리고 오는 것이 사이버 범죄자들이다. 우리 보안 시스템도 그렇고 전 세계적으로 가장 믿고 있는 부분이 내부다. 바다 이야기 시즌7 내부 트래픽을 정상과 비정상으로 나눠서 보고 제로트러스트를 하는 것이 어려운 이유는, 외부에서 뚫고 들어올 때 어느 정도 방어를 해놓고 있다고 생각하기 때문이다. 그럼에도 뚫고 들어올 수 있고, 횡적 이동에 대비한 많은 준비를 했어야 했는데, 지금은 내부 침투 이후 타격도 심할 것이란 게 우려스럽다. ◇지정호= AI가 변화의 흐름을 만들기는 했지만, AI에만 꽂히고 있다면 리스크가 구체적으로 무엇인지 모르고 막연한 두려움을 갖는 것이다. 예전에도 보안 인력이나 투자가 충분하지 못한 상황에서 우선순위를 정한다면 메인 시스템이 타깃이었다. AI로 가속화가 됐으니 우선순위가 아니라 속도감 있게 대응하는 것이 필요하다. 기업들이 서로 다른 방식으로 당했는데 곧 조사 결과가 공개되겠지만, 과연 못 막을 공격이었을까? AI에 포커싱, 속도, 기법에 집중해서 기업이나 기관은 그에 걸맞은 대책을 세워 나가야 한다. ◇사회= 이번 사건과 관련해 실제 공격을 감행한 해커에 대한 책임은 제대로 물리지 않으면서 정작 피해를 입은 기관과 기업에 대한 과도한 징계를 우려하는 목소리도 많다. ◇손기욱= 취약。이 다 다르고 단일 솔루션도 아니었다면 나름대로 기업 하나하나마다 교훈이 될 것인데, 궁금한 것은 금융권에서 레퍼런스가 잘 공유되고 있는지 여부다. 16개 기관 외에 아직 당하지 않은, 혹은 모르고 있는 금융권에 서로 공유하는 체계가 잘 마련되어 있을까. ◇최광희= 정보 공유가 여러 가지 형태가 있는데, 침해지표(IoC)는 빨리 공유됐다. 하지만 구체적 내용, 즉 어떤 구조에 의해 발생했는지 등을 정확하게 알려줘야 동일 패턴 방어가 가능한데 이러한 공유는 더 빨라져야 한다. ◇지정호= 구체적 공유는 되고 있지 않고 공유 타이밍이 아쉽다. 2, 3차 피해를 막으려면 빨리 공유돼야 하는데 한참 지나서 누구나 알 만한 시。이 되면 그제야 공유가 된다. 사이버 위협 인텔리전스(CTI) 회사들의 리포트를 기다리는 판국이다. ◇곽경주= 알짜배기는 결국 뒤늦게 공유되는 게 고질적인 문제다. 미국의 경우는 당일에 바로 보고서를 써서 내고 FBI가 '조심해라, 이 취약。이다' 공개하는데, 우리는 실질적으로 대응할 수 있는 정보가 많이 없다. 금융권 사고가 벌써 한참 전인데 아직도 추측성이다. 정보 공유 막고 보안 역량 떨어뜨리는 '규제의 역설' ◇최광희= 왜 공유를 못 할까? 분석을 못 해서는 아닐 것이다. 피해 기업이 규제기관 조사를 받고있는 상황이기 때문이다. 이것이 바로 규제의 역설이다. 바다이야기게임 다운로드 조금만 개인정보 유출돼도 처벌 강도가 높기 때문에 공격자의 협박이 수월한 구조를 만들고 있는 것은 아닌가 생각해 봐야 한다. AI 때문에 생각지 못했던 취약。 등이 더 악용될 소지가 있는데, 사고 사실만으로 기업들을 강하게 처벌하는 것이 원래 규제 목적에 부합하는지 의문이다. 기업이 100% 보안을 갖추지 않은 것을 규제하려는 게 원래 취지는 아니였을텐데. 규제의 목적을 다시 보고 합리적인 규제 방안을 생각해야 할 시.이다. ◇이원태= 어쩌면 현 규제는 소극적이고 편리성 위주의 규제다. 적극적인 규제는 이렇지 않다. AI 침해사고의 분류체계를 갖고 있는지 등, 조금 더 과학적이어야 한다. 일정 유형을 갖추고, 국가 핵심 인프라에 큰 위협이 되는 유형이라 판단되면 공유하고 통보해야 할 의무를 부여해야 한다. 현재는 AI 사고 분류체계가 부재하고 당연히 통보 및 공유 의무도 부여되지 않으며, 처벌에만 초.을 맞춘 소극적 규제다. 합리적인 규제를 찾아야 한다. 우리가 AI 사고 대응을 많이 하고 규제 체계를 잘 만들면 한국이 선도적인 역할을 하지 않을까. ◇최광희= 순기능을 유도할 수 있는 규제는 굉장히 좋은 방향이다. 처벌 위주 규제도 기계적으로 하면 안 된다. 규제기관도 처벌하는 데 공을 많이 들여야지, 유출 건수만 가지고 기계적으로 하는 것이 아니라 피해 위험도나 실질 피해가 어떤 것인지에 대한 고민을 해야 한다. 일상화되는 해킹 속에서 해킹 사실만 가지고 강한 처벌을 한다는 것은 납득하기 어렵다. 처벌하는 방법도 기계적인 처벌이 아니라 위험도를 고려한 처벌 방식으로 전환해야 한다. ◇지정호= 사건이 터졌을 때 온 국가적인 원망이 보안 실무자, CISO, 기업에게 쏟아지는데, 범인에 대한 처벌이 잘 돼서 공격자들에게 경각심이 됐으면 한다. 대한민국에 공격이 확산되지 않게 하기 위해서 기업들이 성실하게 공유하면, 이를 참작하는 생태계가 필요하다. 정보를 빨리 공유하도록 유도하고 빨리 사고를 수습하고 조치하도록 정부가 지원해 주는 역할로의 전환이 필요하다. 과도한 처벌은 보안 꿈나무들이 비전을 갖지 못하게 한다. 동료 CISO들에게 자녀한테 보안 시킬 것이냐 물어보면 아무도 시키지 않는다고 한다. ◇사회= 현실화된 AI 악용 보안위협에 대해 우리는 어떻게 대응해야 할까 ◇지정호= 지금은 쉽게 차근차근 할 시간이 없다. 방어자도 AI 공격 속도에 대응하지 않으면 뒤처진다. 공격 속도가 빨라졌다면 방어를 빠르게 해야 한다. 특히 공격 표면 관리(ASM)를 잘해야 한다. 들어올 수 있는 입구부터 틀어막아야 한다. 보안성 심의 단계에서 권한이나 외부 접。 등에 대한 평가를 강화해야 한다. 바다이야기동영상 API 자산이 화제인데 기업에 API가 몇 개 있는지 파악하는 기업이 많지 않다. 섀도우 IT 찾는 것도 잘해야 한다. 또 망분리 완화 속도를 조절할 필요는 없다. 방어 속도 향상을 위해 망분리 제도를 개선하고 빠르게 현장에서 쓸 수 있게 해야 한다. ◇곽경주= 역설적으로 공격자들보다 우리가 더 우위에 설 수 있다. 우리가 더 빨리 .검하고 공격 표면을 찾고 하면 대응할 수 있다. 미국 쪽은 "우리 데이터 외부로 나가는 거야?"라는 데 초.을 맞추지 않는다. 그들은 데이터를 잘 분리해 놨고, 나가는 데이터의 경우에는 모니터링할 수 있는 체계를 갖춘 상태에서 통제한다. AI를 써서 취약. 찾아서 패치하고, 그런 파운데이션을 빨리 가지게 되면 그렇게까지 겁낼 필요는 없다. AI로 대응하고, 회복력 정립해야 ◇사회= 마지막으로 이번 사건에 대해 종합적으로 한 말씀씩 부탁드린다 ◇손기욱= 규제 중심의 대응에서 '실제 막을 수 있는가' 쪽으로 시각을 전환하는 것이 필요하다. 더 이상 컴플라이언스 중심 체계로는 부족하며, 회복력에 대한 부분을 우리가 어떻게 정립할 것인지 논의해야 한다. 100% 방어라는 개념은 없어져 버렸다. 회복력을 기준으로 지표들이 나오기 시작하면 기업 내에서 CISO가 예산 받기도 수월하고 성과 지표를 말하기도 수월해지지 않을까. 서비스, 자산, 레질리언스 관。에서 이만큼의 수치를 가지고 개선을 시키겠다고 해야 한다. ◇곽경주= 티오리에서 아르텍스 같은 도구들을 모아놓고 비교 실험을 해보니 이들 도구는 통제되지 않는다는 특징이 있다. 'DB 삭제하지 말라'고 했는데 삭제하고 목표까지 가기 위해 무엇이든 한다. 대부분의 도구가 에이전트 코드 레벨에서 강제성의 다단계 부여가 안 되고 아르텍스 등 대부분의 도구가 그렇다. 클라우드 오케스트레이션을 위해 오픈소스를 많이 썼는데 포트 열린 것도 모르고 공격 당했듯이, AI도 그런 상황이 될 수 있다는 .을 인식해야 한다. ◇최광희= 금융권 해킹 사고가 났을 때 정기 조사나 언론, 국회가 처벌에만 관심 가지지 않았으면 한다. 처벌에 초.을 맞추기 보다는 사건의 원인이 무엇이었는지, AI 활용 특정 분야 대규모 공격의 원인과 대처 방법을 빠르게 찾고 타 분야에 빨리 확산해야 한다. ◇지정호= 예전에도 단숨에 해결책이 나오지 않았다. 지속적으로 여러 사람의 견해를 모아서 대응 방안을 마련해야 하며, 좌담회가 그런 측면에서 의미가 있었다는 생각이 든다. 실무자들의 기운이 많이 빠져 보여 전하고 싶은 말이 있다. 어려운 시국에 고객 데이터를 지켜내야 하는 사람은 실무자밖에 없다. 어렵지만 책임감을 갖고 고객 데이터를 지켜내는 데 힘을 써줬으면 한다. font-weigh