美 백악관, 대규모 AI 사이버 챌린지 발표: 오픈AI·구글과 보안 취약점 잡는다

미국 라스베이거스에서 열린 보안 콘퍼런스 블랙햇(Black Hat USA)에서 미 행정부가 굵직한 프로젝트를 공개했습니다.

바이든-해리스 행정부는 인터넷과 핵심 인프라를 지탱하는 주요 소프트웨어의 보안 취약점을 AI로 찾고 고치는 2년 기한의 경진대회, 'AI 사이버 챌린지(AIxCC)'를 공식 출범시켰습니다.

대회를 이끄는 곳은 국방고등연구계획국(DARPA)입니다. 여기에 앤트로픽(Anthropic), 구글(Google), 마이크로소프트(Microsoft), 오픈AI(OpenAI) 등 내로라하는 AI 대표 기업들이 파트너로 합류해 자사의 첨단 기술과 전문 지식을 참가자들에게 개방하기로 했습니다.

상금 2천만 달러, 데프콘 무대에서 2년간 격돌

이번 대회의 총상금 규모는 약 2000만 달러에 달합니다.

자금력이 부족한 소규모 팀이나 스타트업의 진입 장벽을 낮추기 위해 DARPA는 중소기업 지원용으로 700만 달러를 별도 배정했습니다.

경연은 2024년 봄 예선으로 시작됩니다. 예선을 통과한 상위 20개 팀은 글로벌 해킹 콘퍼런스인 데프콘(DEF CON) 2024에서 열리는 준결승에 진출합니다.

준결승 상위 5개 팀은 상금을 받고 데프콘 2025에서 열리는 최종 결승에 오르며, 여기서 최종 1위부터 3위를 기록한 팀이 추가 상금을 거머쥐게 됩니다.

대회 결과물이 연구실에만 머물지 않도록 리눅스 재단 산하의 오픈 소스 보안 재단(OpenSSF)이 자문 역할을 맡았습니다. 우승팀이 만들어낸 솔루션을 미국의 주요 소프트웨어 보안 현장에 곧바로 투입할 수 있도록 돕는 구조입니다.

왜 중요한가

보안 업계에는 방어자는 모든 허점을 막아야 하지만 공격자는 단 하나의 빈틈만 찾으면 된다는 오랜 격언이 있습니다.

오픈소스 프로젝트나 인프라 코드를 관리하는 개발자에게 코드 내 취약점 탐지와 패치 작성은 끝없는 노동입니다. 사람이 일일이 코드를 검토하는 속도로는 늘어나는 위협을 따라가기 벅찹니다. 최상위 LLM을 방어 도구로 활용해 대규모 자동화에 성공한다면 취약점 패치 주기를 획기적으로 줄일 수 있습니다.

이번 조치에서 미국 정부의 접근법은 꽤 영리해 보입니다. 단순한 선언적 규제에 그치지 않고, 오픈AI와 구글 같은 선두 기업들의 핵심 모델을 현장에 끌어내어 민간 해커와 연구자들에게 쥐어주는 방식을 택했기 때문입니다. OpenSSF를 파트너로 삼아 결과물을 오픈소스 생태계에 즉시 환류하겠다는 설계도 실용적입니다.

하지만 양날의 검이라는 점은 분명합니다. 복잡한 코드에서 취약점을 찾아내 완벽한 패치를 만들어내는 AI 기술은, 악의적인 해커의 손에 들어가는 순간 전자동 제로데이 공격 도구로 직결됩니다. 방어 자동화 기술을 검증하는 과정 자체가 공격 기술의 진화를 자극할 위험도 배제하기 어렵습니다.