AI가 해킹 무기가 되다... 기업 대응 체계는 준비됐는가

Mythos의 '약탈적 지능' 발견이 던지는 경고

2026년 4월, 보안 업계에 경종을 울리는 사건이 발생했다. Anthropic이 자사의 Mythos Preview 모델을 제한된 소수 조직에만 공개하기로 결정한 이유는 수만 개의 소프트웨어 취약점을 자동으로 식별하고 악용할 수 있는 능력 때문이었다. 더욱 충격적인 것은 내부 테스트에서 80% 이상의 경우에서 취약점을 성공적으로 재현하고 악용할 수 있었다는 점이다.

해킹 도구로서의 생성형 AI

이는 단순한 보안 사건이 아니다. 위협 행위자들이 AI를 도구로 이용하여 공격 주기 전반에 걸쳐 마찰을 줄이고 있으며, AI는 위협 행위자들이 더 빠르게 조사하고, 더 나은 피싱 메시지를 작성하고, 맬웨어를 작성하고, 도난당한 데이터를 분류하는 데 도움을 주고 있다.

한 가지 더 심각한 사실은 사이버 범죄자들이 피싱 이메일 작성, 악성 소프트웨어 개발, 공격 규모 확대 등 사이버 공격의 거의 모든 단계에서 AI를 활용하고 있으며, AI가 해커들을 위한 '힘의 배수(force multiplier)'로 작용하고 있다는 점이다.

450% 증가한 피싱 성공률

구체적인 피해 규모도 드러나고 있다. AI로 만들어진 정교한 피싱 플랫폼 '타이쿤2FA'는 2023년 이후 거의 10만 개의 조직과 연관되어 있으며, 정점에는 마이크로소프트가 매월 차단하는 모든 피싱 시도의 약 62%를 차지했다.

더 심각한 것은 성공률이다. 클릭스루율이 450% 증가했다는 것은 AI가 단순히 같은 수준의 공격을 반복하는 것이 아니라, 더 나은 방식으로 공격을 수행하고 있다는 의미이다.

전 공격 단계에서의 AI 활용

마이크로소프트의 보안 분석에 따르면, AI는 단일 공격 단계가 아닌 전체 생명주기에 걸쳐 악용되고 있다. 정찰 단계에서 AI는 인프라 발견과 페르소나 개발을 가속화하고 있으며, 목표 선정과 첫 접촉 사이의 시간을 단축시키고 있다.

침해 후 발견 단계에서는 AI가 낯선 환경 분석을 가속화하고, 측면 이동 단계에서는 재연 데이터를 분석하여 이동 전략을 개선하며, 권한 상승 단계에서는 발견된 계정과 권한 구조를 분석하여 상승 경로를 식별한다. 또한 데이터 유출 단계에서는 대규모 데이터 세트에서 관련 정보 위치를 줄이기 위해 수작업 노력을 감소시키고 있다.

'단국적 위협 모델'의 도래

마이크로소프트 보안팀이 RSAC 2026에서 제시한 분석에 따르면, 더 이상 '국가 수준의 자원'이 필요하지 않다는 것이 가장 큰 문제다. 과거에 국가 또는 조직화된 범죄 집단이 필요했던 수준의 정교한 공격을 시작할 수 있는 기술적 장벽이 붕괴되었으며, 올바른 도구와 인내심을 가진 개인이라면 충분하다.

해외 대응 사례: 방어 중심의 협력

다행스럽게도 방어 진영도 움직이고 있다. Anthropic은 선택된 파트너들과 협력하여 방어를 강화하고 광범위한 배포 전 보안 조치를 개발하고 있다. 더 나아가 업계 전문가들은 다른 AI 제공업체로부터도 유사한 기능이 수개월 내에 등장할 가능성이 높다고 경고하고 있으며, 이는 사이버보안의 새로운 국면을 알리는 신호이다.

마이크로소프트는 더 구체적인 대응을 시작했다. CTI-REALM이라는 오픈소스 벤치마크를 공개하여 AI 에이전트가 실제 사이버 위협 인텔리전스를 탐지 규칙으로 변환할 수 있는지 평가할 수 있도록 했다.

국내 기업의 준비 상황

한국 기업들의 AI 사이버보안 대응은 여전히 초기 단계다. 대부분이 방어 도구 도입에만 집중할 뿐, 사용자 신뢰 침식, 오류 출력에 대한 과신, 편향 강화, 잘못된 응답으로 인한 해악 등 AI 시스템만이 야기할 수 있는 인간 중심의 위험을 간과하고 있다.

시급한 세 가지 조치

마이크로소프트가 제시한 AI 시대의 사이버보안 전략은 명확하다:

첫째, 거버넌스 강화다. 에이전트 에코시스템이 가장 공격 받기 쉬운 표면이 될 것이며, 배포된 에이전트와 그 행동을 파악하지 못하는 조직은 이를 방어할 수 없다.

둘째, 정체성 기반 보호다. 강화된 멀티팩터 인증과 접근 제어가 더 이상 선택이 아닌 필수가 되었다.

셋째, 지속적인 모니터링이다. AI는 방어 진영도 강화하고 있어, 보안팀이 행동을 분석하고 이상을 탐지하며 공격에 더 빠르게 대응할 수 있는 도구로 활용되고 있다.

향후 전망

2026년은 'AI 사이버 위협 원년'이 될 것 같다. 마이크로소프트와 다른 보안 리더들은 RSAC 2026 회의에서 이러한 중대한 진화에 앞서기 위해 자원과 전략 변화를 우선시하고 있다.

국내 기업들도 준비를 미룰 수 없는 상황이다. AI 기반 공격의 속도와 규모 앞에서, 구식의 방어 체계로는 더 이상 충분하지 않을 것이기 때문이다.