“앞으로의 보안 경쟁은 사람과 인공지능(AI)의 싸움이 아니라 AI를 가장 잘 활용하는 공격자와 방어자의 경쟁이 될 겁니다.”
세계적인 해킹대회 ‘데프콘 CTF’에서 4위에 오른 정협·이지훈 SK텔레콤 레드팀 매니저는 최근 기자와 서면 인터뷰에서 이같이 말했다. 두 사람은 국내 화이트해커 연합팀 ‘콜드 퓨전(Cold Fusion)’ 소속으로 올해 대회에 참가했다.
데프콘 CTF는 1996년 시작돼 약 30년간 이어진 해킹대회다. 올해 콜드 퓨전은 예선 3위로 본선에 진출해 최종 4위를 기록했다. 두 사람은 취약점과 네트워크 패킷을 분석해 공격·방어를 수행했다. 패킷 분석 도구와 자동 공격 도구도 직접 개발했다.
이번 대회의 또 다른 팀원은 AI였다. 두 사람은 AI를 단순히 문제의 답을 묻는 도구가 아니라 반복적인 분석을 맡는 에이전트로 활용했다. 상대 팀이 실시간으로 적용한 패치를 AI가 분석해 어떤 취약점을 막으려 했는지 파악하고, 새로운 우회 경로가 있는지도 탐색하도록 했다.
AI의 강점은 속도였다. 정협 매니저는 “짧은 시간에 많은 코드와 패치를 분석하고 여러 공격 가능성을 동시에 탐색하는 작업은 사람이 직접 하는 것보다 훨씬 효율적이었다”고 말했다. SK텔레콤 레드팀 실무에도 이 방식을 적용하고 있다. 과거에는 가능성이 높은 공격 경로 몇 개에 집중했다면 AI를 활용한 뒤 같은 시간에 더 많은 코드와 공격 가설을 검증할 수 있게 됐다는 설명이다.
한계도 있었다. AI가 존재하지 않는 취약점을 그럴듯하게 제시하거나 실제로는 불가능한 공격을 가능하다고 판단하기도 했다. 두 매니저는 대회 환경과 동일한 시스템을 별도로 구축해 AI가 만든 공격 코드를 직접 실행하는 방식으로 이를 검증했다. 분석→공격 방법 생성→실행→실패 원인 재분석 과정을 AI가 반복하도록 했다. AI의 설명이 아니라 실제 실행 결과로 판단한 셈이다.
이지훈 매니저는 “AI가 보안 전문가를 대체한다기보다 전문가가 판단해야 할 영역을 훨씬 빠르게 좁혀주는 데 가능성이 있다”고 평가했다. 같은 AI를 쓰더라도 어떤 정보를 주고 문제를 어떻게 나눠 맡기는지, 결과 가운데 무엇을 신뢰할지 판단하는 사람의 역량에 따라 성과가 크게 달라진다는 것이다.
이들은 AI 발전으로 공격과 방어에 걸리는 시간이 급격히 짧아질 것으로 내다봤다. 취약점이나 코드 변경이 공개되는 순간 공격 AI가 공격 가능성을 찾고, 방어 AI도 동시에 영향과 대응책을 분석하는 시대가 올 수 있다는 것이다. 정협 매니저는 “공격자가 AI를 사용할 미래를 대비하는 가장 좋은 방법은 기업도 AI를 활용해 스스로 더 빠르고 더 자주 공격해보는 체계를 지금부터 만드는 것”이라고 강조했다.
라현진 기자 raraland@hankyung.com