구글 보고서: 해커, AI로 제로데이 취약점 발굴해 무기화

AI가 해커들의 피싱 메일 작성을 돕는 단계를 넘어, 이제 스스로 제로데이 취약점을 찾아내고 무기화하는 단계에 도달했습니다.

구글 위협 인텔리전스 그룹(GTIG)은 사이버 범죄 조직이 AI 모델을 사용해 제로데이 취약점을 찾아내고 이를 실제 공격 코드로 제작한 사례를 최초로 확인했다고 발표했습니다. 이들은 해당 익스플로잇을 사용해 대규모 공격을 감행할 계획이었으나, GTIG의 사전 탐지와 책임 있는 공개 조치로 실질적인 피해는 차단되었습니다.

공격 코드에 고스란히 남은 AI의 흔적

공격 표적이 된 것은 널리 사용되는 오픈소스 웹 기반 시스템 관리 도구였습니다. 제작된 파이썬 스크립트는 정상 자격 증명을 가진 사용자가 2차 인증(2FA)을 완전히 우회할 수 있도록 설계된 제로데이 익스플로잇이었습니다.

이 취약점은 전통적인 메모리 오염이나 입력값 검증 누락이 아니라, 개발자가 코드에 하드코딩해 둔 잘못된 신뢰 가설에서 비롯된 고차원 비즈니스 논리 오류였습니다. 기존 보안 스캐너나 퍼징 도구는 이런 오류를 잡아내지 못하지만, 최신 LLM은 개발자의 의도를 읽고 논리 간 모순을 대조하는 맥락 추론에 능해 손쉽게 결함을 찾아냈습니다.

GTIG가 AI 사용을 확신한 결정적 이유는 코드의 기괴한 완성도 때문이었습니다. 스크립트 내부에는 교과서적인 파이썬 서식과 화려한 터미널 색상 클래스는 물론, 모델이 스스로 지어낸 가짜 CVSS 위험도 점수까지 포함된 교육용 주석이 고스란히 남아 있었습니다.

국가 배후 해킹 조직들의 AI 활용도 위험 수위를 넘고 있습니다. 중국 연계 조직인 UNC2814는 AI에게 숙련된 보안 감사관 역할을 부여하는 탈옥 기법으로 펌웨어 취약점을 연구했습니다. 심지어 중국의 과거 취약점 플랫폼 '우윈(WooYun)'의 실제 사례 8만 5천여 건을 Claude 플러그인에 연결해 논리 결함 탐지 성능을 극대화한 정황도 포착되었습니다.

북한 연계 조직 APT45는 수천 개의 프롬프트를 자동화해 취약점 익스플로잇을 재귀적으로 검증하고 있으며, 러시아 연계 조직은 다형성 악성코드와 난독화 네트워크를 구축하고 있습니다. PROMPTSPY 같은 악성코드는 피해자 PC 환경을 AI 모델이 직접 분석한 뒤 다음 실행 명령을 동적으로 생성하는 자율 공격 단계까지 진입했습니다.

왜 중요한가

우리는 공격과 방어의 기술적 균형추가 완전히 흔들리기 시작했다고 봅니다. 제로데이 취약점 발굴은 막대한 비용과 최고급 분석관의 시간이 필요한 영역이었지만, 공격자들이 특화된 취약점 데이터베이스와 에이전트 프레임워크를 결합하면서 고난도 논리 취약점을 찾아내는 진입 장벽이 급격히 낮아졌습니다.

보안 및 개발 조직 입장에서 이는 심각한 경고입니다. 기존 정적 분석 도구(SAST)는 문법 오류나 버퍼 오버플로는 잘 잡지만, 이번 사례처럼 개발자가 편의상 열어둔 하드코딩 예외 처리는 정상 코드로 인식합니다. 반면 공격자의 LLM은 2FA 로직 전체의 모순을 순식간에 꿰뚫어 봅니다. 전통적인 코드 검수 방식만 믿다가는 치명적인 허점을 노출하게 됩니다.

공격자들은 이미 계정 자동 순환으로 사용 제한을 우회하고, 가상 샌드박스에서 AI 생성 페이로드를 검증하는 등 공격 라이프사이클 전체를 자동화하고 있습니다. 방어 진영 역시 AI 기반 코드 수정과 자율 대응 도구를 전면 도입하지 않는다면, 자동화된 속도로 밀고 들어오는 공격자들을 사람이 직접 분석하고 막아내는 것은 불가능해 보입니다.