“국내 금융사 대상 AI 에이전트 활용 공격 현실화…‘CEO·이사회’, AI 위협 대응 나서야”

“안타깝게도 최근에 AI에 의한 사이버공격이 우리나라 금융권에서 현실화된 사례가 발생했습니다.”

김성웅 금융보안원 금융AI보안연구소장(본부장)은 최근 열린 ‘금융 테크 컨퍼런스 2026 – AI×Security×Finance’에서 연사로 나와 “프론티어 AI라고 부르는 고성능 AI는 스스로 IT 시스템 취약점을 탐색할 뿐만 아니라 스스로 공격 가능한 수준까지 발전하고 있다. 이제는 AI가 촉발하는 사이버보안 위협을 심각하게 걱정해야 하는 시대”라고 경고하며, 최근에 발견된 AI를 활용한 금융권 대상 사이버공격 사례를 언급했다.

그에 따르면, 금융보안원은 최근 국내 금융사를 대상으로 한 AI 에이전트 활용해 이뤄진 실제 공격을 처음 발견했다. 악의적인 해커(공격자)는 딥시크 AI 에이전트를 활용해 오라클 웹로직 자산을 스캔한 뒤 국내외 300여개의 금융회사에 동시다발적인 공격을 수행했다. 금융사가 사용 중인 웹로직 자산을 스캔하라고 지시한 뒤 스캔된 자산들 중 취약점이 있는 시스템을 대상으로 원격에서 명령을 실행할 수 있도록 웹쉘을 설치하는 명령을 내렸다. 이후 설치된 웹쉘을 기반으로 내부의 다른 자산을 또 탐색하는 단계까지 침해가 진행된 것을 확인했다.

김 소장은 “다행스러운 점은 (공격자가) 웹쉘을 설치해 내부 자산을 탐색한 뒤에 2, 3차 추가 공격을 위해서 악성코드를 외부에서 다운로드해 설치하려고 하는 단계에서 우리가 탐지해 차단해 큰 추가 피해 확산은 없었다”라며 “분석 결과, 이 침해사고는 각 단계별로 사람이 일일이 지시해 이뤄진 것이긴 하다. 완전 자율형 공격은 아니고 에이전트에 스캔하라, 웹쉘을 설치하라, 그 다음 단계에서 해야 할 일을 일일이 프롬프트로 지시하면 그 지시에 따라서 에이전트가 공격을 수행하는 유형의 사고였다”고 설명했다.

이어 “AI 에이전트를 활용해 표적형 수준의 공격을 여러 기관에 수행했다는 점에서 기존 공격 방식과는 다른 점이 있다”라면서 “주목할 점은, 이번 사고는 AI 에이전트에 의해서 발생했고, 사람이 단계별로 하나하나 공격 방식을 지시한 수준이지만 앞으로 해킹하라는 구체적인 지시 없이 특정 금융회사에서 금전적 이익을 얻으려는 목적이나 금융회사를 마비시키고 싶다는 추상적인 목표를 던지면 AI 에이전트가 스스로 해킹이라는 방법을 선택하고 그 기술적인 방법까지 검토해 전략을 마련하는 단계까지 발전할 수 있다는 것이다. 두려운 상황”이라고 전했다.

“AI 보안위협 대응, CISO만의 문제 아닌 경영진 전체의 책임…금융권 공동 대응 필요”

이같은 고성능 프론티어 AI 보안위협에 대응하기 위해 금융당국과 금융보안원은 관련한 금융보안 대응 요령 가이드라인을 지난 7월에 공개했다. ▲경영진 책임 강화 ▲취약점 및 패치 관리 ▲자산·공급망 관리 ▲AI 기반 방어 자동화 ▲공동 대응 및 시스템 복원력 강화 ▲침해 확산 방지까지 6개 핵심 분야의 대응 요령을 제시한다.

김 소장은 “대응요령의 첫 번째는 경영진의 책임 강화다. AI 보안 위협이 현실화된 시점에서 보안 위협에 대응하는 것은 최고정보보호책임자(CISO) 혼자만의 문제가 아니다”라며 “최고경영자(CEO), 이사회 등 경영진 전체가 함께 나서는 전사적 운영 리스크 차원에서 접근해야 한다. 또 운영 리스크 차원의 지표를 CEO나 이사회가 보고를 받고, 그 보고 내용에 따라서 대응을 해야 한다. CISO에게만 주어졌던 보안 문제를 경영진 전체의 문제로 다룰 수 있도록 거버넌스 체계를 재정비하고 확립해야 한다”고 강조했다. 운영 리스크 차원의 지표의 예시로는 패치가 안된 서비스, 외부에 노출돼 잠재 공격 대상이 될 수 있는 웹 서버 자산, 사고 발생 후 복구 방법과 소요 시간 등을 들었다.

그는 “금융회사들은 공급망, 즉 제3자 의존도가 높기 때문에 공급망 관리인을 포함해 많은 보안 사고들이 식별이 잘 되지 않는 자산에서 발생한다. 식별되지 않아서 관리되지 않고, 패치되지 않고, 모니터링되지 않게 되기 때문에 사고가 많이 발생하는 것”이라며 “최근 클라우드나 AI 같이 제3자가 제공하는 기술이 굉장히 많아지면서 자산 식별이 매우 어렵다. 그럼에도 불구하고 자산 식별은 매우 중요하다. 많이 사용하는 소프트웨어 안에 있는 많은 오픈소스도 공급망 위험성을 높이는 큰 문제 중 하나다. 소스가 공개돼 있어 누구든지 취약점을 찾을 수 있어 소프트웨어 자산이 공격 받을 가능성이 매우 높다. 따라서 공급망 관련 자산관리가 너무나 중요하다”고 지적했다.

김 소장은 “프론티어 AI로 인해 하루에도 수백 건, 수천 건씩 취약점이 쏟아지고 있어 사실상 모든 취약점 패치는 불가능하다. 취약점 공격 가능성과 위험성, 업무 중요도에 따라 우선순위를 매겨 대응해야 한다. 패치 적용 외에도 웹 방화벽, 침입차단시스템, 가상(Virtual) 패치처럼 패치를 대신할 방안도 함께 고려해야 한다”며 “취약점이 공개되기 전에 개발 단계에서 AI 모델을 활용해 소스코드 자체에 대한 취약점을 진단해, 취약점 발생 가능성을 원천 차단하는 방안도 요즘 많이들 검토하고 있는데 좋은 방안으로 보인다”는 의견을 밝혔다.

또한 그는 “공격자들이 AI를 통해 자신의 공격 역량을 증폭했다면 방어자인 우리도 AI를 통해서 방어 역량을 확대하고 증폭시키는 것은 당연하다. 다만 방어자는 공격자와는 달리 방어에 실패하면 안된다. 적극적으로 방어하려다 시스템과 서비스가 중단되거나 느려져서도 안된다. AI에게 모든 방어를 한없이 맡길 수 없다. 결국 책임은 사람이 져야하기 때문에 위험성에 따라 AI 자율성의 정도를 조정해서 운영할 필요가 있다”며 그 방안을 이렇게 소개했다.

“AI가 오판단이나 잘못된 액션을 하더라도 그 영향도가 높지 않고 피해가 크지 않는 것은 자동화해 AI에 맡기고, 계정계 시스템, 인증정보가 담긴 DB 등 내부 핵심시스템 관련 차단은 사람이 최종 승인할 필요가 있다. 완벽한 자동화보다는 위험도별로 AI한테 맡길 것과 사람이 할 것을 나눠 단계적 자동화할 것을 권고한다. 이것이 서비스나 업무의 영향을 줄이면서도 AI 방어 역량을 활용할 수 있는 최선의 방법이라고 할 수 있다.”

김 소장은 특히 “마지막으로 강조하고 싶은 것은 금융권 공동 방어 체계”라며 “AI 공격은 한 개의 자산과 기관에 국한되지 않고 동시다발적으로 이뤄진다. 한 금융회사에서 발생한 침해사고가 다른 금융회사로 동일하게 발생하지 말라는 법은 없다는 점에서 금융권이 함께 모여 보와 노하우를 공유하고 전체 금융권의 방어 역량을 동시에 증진시킬 필요가 있다”고 강조해 말했다.

금융당국과 금융보안원은 이같은 대응요령 외에도 ▲거버넌스 ▲합법성 ▲보조수단성 ▲신뢰성 ▲금융안전성 ▲신의성실 ▲보안성으로 이뤄진 ‘금융분야 인공지능 가이드라인 7대 원칙’과 ‘금융분야 AI 보안 안내서’를 제공하고 있다. 안내서는 AI 기술 도입과 활용 생명주기에 걸쳐 보안성 검증을 위해 필요한 실무 지침을 담았다.

AI 레드티밍, 2027년부터 정식 점검 시행…금융 AI 신뢰성·안전성 평가기준 마련

아울러 금융보안원은 금융 AI 서비스의 안전성과 신뢰성을 검증하는 ‘AI 레드티밍’을 2027년부터 정식으로 제공하고 있다. 2024년 3개 기관을 대상으로 시범운영을 시작한 이후 2025년 5개 기관 5개 서비스, 2026년 20개 기관 24개 서비스를 대상으로 점검을 수행했다. 레드티밍 점검은 AI 시스템에 대한 적대적 공격 대응 체계 점검과 실제 데이터 오염 공격, 데이터 모델 추출 공격, 회피 공격 같은 세가지 공격 유형을 중심으로 AI 모델의 보안성을 테스트하는 실증 점검으로 이뤄진다.

김 소장은 “AI 레드티밍 외에도 국내외 여러 사례를 조사하고 분석해 최근 ‘금융 AI 신뢰성·안전성 평가기준’을 마련했다. 조만간 공개할 예정이다. 현재 시범 평가를 수행하고 있다. 이 시범 평가가 끝나면 정식 공개할 계획이다. 또 스스로 평가할 수 있는 평가 도구도 만들고 있다. 흔히 이야기하는 벤치마크 데이터셋도 공급하려고 준비하고 있다. 금융회사에서 적극 활용할 수 있길 바란다”며 “금융회사들이 AI 기술로 혁신을 가속화하면서도 회사의 자산, 고객의 자산, 우리 시스템들을 안전하게 잘 지키고 업무를 지속할 수 있는 방안과 기반을 탄탄하게 마련했으면 한다”고 밝혔다.

글. 바이라인네트워크
<이유지 기자>yjlee@byline.network