6분 만에 뚫린 금융 서버
AI 에이전트가 금융권 서버를 뚫는 데 걸린 시간은 단 6분이었습니다. 가상 금융기관 서버에 취약점을 알려달라는 지시만 내렸는데, AI는 곧바로 허점을 찾아 100개의 개인정보를 탈취했습니다. 보안 업계가 경고해 온 AI 해킹이 현실이 된 겁니다.
공격에 쓰인 AI 에이전트는 아르텍스입니다. 해커가 목표만 주면 스스로 침투 계획을 세우고, 방어가 실패하면 다른 경로를 찾아 재시도합니다. S2W는 전 세계에 수백 대의 AI 자율 침투 서버가 돌아가고 있다고 관측했습니다.
무너진 보안 노출 창
배경에는 프런티어 AI가 있습니다. 앤트로픽의 클로드 미토스 프리뷰는 인간 개입 없이 취약점을 탐지하고 악용 코드를 생성했습니다. 오픈AI와 구글도 유사 모델을 내놨습니다.
문제는 속도입니다. 제로데이클록에 따르면 취약점 공개 후 악용까지 걸리는 시간이 60일에서 몇 분으로 줄었고, 공개 전에 공격이 이뤄지는 사례도 나타났습니다. 공격과 방어의 시간 차이가 사실상 사라진 셈입니다.
SK쉴더스는 공격자들이 핵심 시스템보다 대출 모집, 임직원 지원 등 관리가 취약한 외부 노출 자산을 먼저 노린다고 분석했습니다. 테스트 서버나 레거시 웹 같은 섀도 IT가 주요 표적입니다.
AI로 AI를 막는 시대
각국 금융당국은 대응에 나섰습니다. 제이피모건과 골드만삭스 등 대형 은행은 프리뷰로 수천 건의 취약점을 찾아 분 단위로 패치했습니다. 국제통화기금은 예방에서 대비·억제·복구로 보안 대응이 이동할 것으로 봤습니다.
영국 AI안전연구소는 AI 침투 과정을 시험하고, 싱가포르통화청은 주요 금융회사에 AI 레드티밍을 의무화했습니다.
한국은 금융감독원과 금융보안원이 AI 레드티밍을 도입하고 일부 금융회사의 망분리 규제를 한시적으로 완화했습니다. 다만 최근 대형 해킹 사고로 2차 완화 대상 선정이 연기됐습니다. 전문가들은 외부 노출 API와 섀도 IT 식별, 인증·인가 모니터링, 탐지·대응 연계의 3단계 접근이 필요하다고 강조합니다.