"AI에 맡겼더니 100곳이 털렸다"…해킹 성공 1건에 단 50달러

인공지능(AI) 에이전트에 공격 작업 대부분을 위임해 100곳이 넘는 기업의 웹사이트를 무더기로 침해한 사례가 드러났다. 특히 해킹에 성공하는 데 소요된 비용은 건당 50달러 수준에 불과한 것으로 나타났다.

로이터통신에 따르면, 사이버보안 기업 노포지 소속 스노레 파거랜드 수석 위협 연구원이 최근 낸 보고서에서 이같이 주장했다.

이 연구원은 해커들이 오픈소스 인공지능 문제 해결 플랫폼인 '케언(Cairn)'을 악용하는 과정을 포착해 공격 전모를 확인했다고 전했다.


로이터 보도에 따르면 중국어권 해커는 100자 미만의 중국어 지시문만 입력한 뒤 공격의 전 과정을 인공지능 에이전트에 맡겼다.
인공지능 에이전트는 지난 9월 25일부터 미국, 캐나다, 호주, 일본 등의 전자상거래 사이트를 겨냥해 공격에 나서 10월 중순까지 1200곳 이상의 사이트를 상대로 침투를 시도했다.

성공적인 침입에는 평균 약 23시간의 탐색 과정이 소요됐다. 이번 공격 캠페인에는 중국 딥시크와 앤트로픽의 클로드 코드 기술이 조합되어 쓰인 것으로 파악됐다.

연구원은 전체 토큰 사용 비용을 약 5000달러로 추산했으며, 성공한 침입 건수를 기준으로 환산하면 해킹 1건당 비용은 약 50달러 수준이라고 밝혔다.

보안 전문가들은 이를 두고 초보 수준을 넘어선 고도화된 자율 침투 기법이라고 평가했다.

이번 해킹으로 피해를 입은 기업 목록에는 농기계 제조업체 디어, 가전기업 샤크닌자, 엔진 제조업체 커민스 등이 포함됐다.

연구원의 초기 보고서에는 피해 기업명이 익명으로 처리되었으나, 언론사가 해커의 플랫폼 활동 기록을 독자적으로 검토해 신원을 최종 확인했다.

피해 기업들은 즉각 대응에 나섰다. 디어 측은 사고 인지 후 필요한 복구 조치를 완료했으며 민감한 정보 유출 정황은 발견되지 않았다고 밝혔다.

샤크닌자는 제품 지원 정보만 담긴 독립 웹사이트가 공격을 받았으나 위협은 이미 차단된 상태라고 설명했다. 커민스는 협력업체가 운영하는 웹사이트를 겨냥한 공격 여부를 조사하고 있다고 전했다.


최근 로이터 등 외신 보도를 통해 인공지능(AI) 에이전트를 앞세운 저비용·대규모 '자율형 자동화 해킹'의 실체가 드러남에 따라,

한국 주요 기업과 협력사들이 운영하는 공개 웹 애플리케이션과 원격 제어 인터페이스 역시 무차별적인 취약점 탐색 공격의 가시권에 들어섰다는 분석이 나온다.

전문가들과 정보통신 업계 분석에 따르면 사이버 방어 전선의 판도가 단기적으로 기업들이 AI 기반의 자동 방어 시스템을 구축하면서 무차별 공격을 어느 정도 차단할 수 있을 것으로 본다.

하지만 중장기로는 공격용 AI의 지능이 더 높아지면서, 기존의 1차 웹 방화벽만으로는 막기 힘든 다각도의 우회 침투가 본격화될 것이라는 관측이 지배적이다.

한편, 급변하는 기술 위협 속도와 달리 현재 한국에는 인공지능 자율 해킹 시나리오에 직접 대응하거나 통제를 벗어난 에이전트의 책임을 명시한 제도적 규정이 전무한 상태여서, 기업들의 자체적인 방어 컴플라이언스 구축이 시급한 과제로 대두되고 있다.


심완섭 글로벌이코노믹 기자 ciberwld@g-enews.com