AI 해킹 공격 ‘분당 100만회’…“고치기도 전에 또 뚫린다”
프로그래밍 언어 PHP의 보안 취약점을 노린 사이버 공격이 분당 100만 회에 달하는 것으로 나타났다. 인공지능(AI)의 발달로 소프트웨어 결함을 찾아내고 공격하는 속도가 빨라지면서 기업과 정부의 보안 대응이 시간과의 싸움으로 바뀌고 있다.

24일 미국 인터넷 인프라 기업 클라우드플레어의 매슈 프린스 최고경영자(CEO)는 닛케이와 인터뷰에서 “PHP 취약점을 노린 공격을 1분에 100만 회 속도로 관측하고 있다”며 “인터넷을 집속탄으로 공격하는 것 같다”고 말했다. 다만 공격 대부분은 방어 체계로 차단하고 있다고 설명했다.

클라우드플레어는 전 세계에 분산한 서버망을 통해 웹사이트 접속 속도를 높이고 사이버 공격을 막는 콘텐츠 전송 네트워크(CDN)를 운영한다. 전 세계 웹사이트 방문 요청의 약 20%가 이 회사 네트워크를 거친다.

“앞으로 2년간 매주 중대 결함 나올 수도”

프린스 CEO는 앞으로 더 심각한 보안 문제가 드러날 수 있다고 경고했다. 그는 “향후 몇 주에서 몇 달 사이 추가로 여러 버그가 공개될 예정이라는 사전 정보를 입수했다”며 “일부는 이번과 비슷하거나 더 심각한 상황을 초래할 수 있다고 들었다”고 말했다. 해당 결함이 PHP와 관련됐는지 등 구체적인 내용은 밝히지 않았다.

이어 “앞으로 2년간 거의 매주 중대한 버그가 발견되는 상황이 이어질 것”이라며 “최악의 시기는 아직 지나가지 않았다”고 내다봤다.

AI 고도화는 새로운 취약점이 드러나는 속도를 끌어올리고 있다. 미국 에포크AI에 따르면 주요 21개 조직이 공개한 일정 수준 이상의 신규 취약점은 지난 9월 약 3500건으로, 3월의 8배로 늘었다. 니혼게이자이신문은 취약점을 찾아내는 능력이 뛰어난 AI가 증가한 영향으로 분석했다.

공개 전 방어책 마련…공격까지 걸리는 시간은 ‘1시간’

이번 PHP 사태에서 실제 피해 확산을 억제한 배경으로는 주요 기술기업들의 사전 대응이 꼽힌다. PHP재단은 미국 정부, 오픈AI 등과 비공개로 협의하며 지난 8월부터 약 두 달간 소프트웨어 수정 등을 준비했다.

사전 협의에 참여한 클라우드플레어도 이달부터 방어 기능을 개발해 취약점 공개 9시간 전에 이용자에게 제공했다. 취약점을 수정하지 않은 사이트에도 적용할 수 있어 피해를 줄이는 데 기여했을 가능성이 있다.

이는 2021년 로그 관리 소프트웨어 ‘로그포제이(Log4j)’ 사태와 대비된다. 당시에는 수정안이 공개되기 전에 취약점 정보가 퍼지면서 공격이 확산했고 벨기에 정부 등이 불법 접속 피해를 봤다.

보안업계는 AI가 공격에 필요한 시간을 크게 단축하고 있다는 점에 주목하고 있다. 과거에는 숙련된 해커도 취약점 공개 이후 공격 파일을 개발하고 실행하는 데 며칠이 필요했지만, 최근에는 공개 후 1시간 이내에 공격에 성공할 수 있다는 것이다. 취약점 발견부터 수정·방어 조치까지 걸리는 시간을 줄이는 것이 사이버 보안의 핵심 과제로 떠오르고 있다.

도쿄=최만수 특파원 bebop@hankyung.com