[서울=뉴시스] 박영환 기자 = 인공지능(AI)이 보안 취약점을 스스로 찾아내고, 기기마다 다른 공격법을 짜며 퍼지는 컴퓨터 웜 시제품이 실험용 네트워크에서 작동한 것으로 나타났다.

미국의 뉴욕타임스(NYT)는 2일 캐나다 토론토대 연구진이 이미 알려진 보안 취약점을 겨냥해 빠르게 확산할 수 있는 AI 기반 컴퓨터 웜의 가능성을 시제품 실험으로 확인했다고 보도했다.

컴퓨터 웜은 일반 바이러스와 달리 사용자가 파일을 열거나 실행하지 않아도 컴퓨터에서 컴퓨터로 스스로 퍼지는 악성 프로그램을 말한다.

토론토대 연구진은 자신들이 만든 시제품이 인간의 개입 없이 외부 인터넷과 분리된 실험용 네트워크 안에서 확산했다고 밝혔다. 해커들이 공격에 악용하지 못하도록 웜 제작 방식의 세부 내용 일부는 논문에서 가렸다.

이번 연구가 주목받는 이유는 AI 웜이 기존 웜처럼 하나의 취약점만 노리는 데 그치지 않을 수 있기 때문이다. 기존 웜은 대체로 특정 보안 취약점 하나를 노렸지만, 연구진의 시제품은 네트워크 안에서 접근한 기기마다 새로운 공격 전략을 짜며 확산할 수 있다.

연구를 이끈 니콜라스 파페르노 토론토대 컴퓨터공학 교수는 “이를 막으려면 완벽하게 안전한 시스템이 필요하지만, 현재로서는 그런 시스템을 만드는 것이 현실적으로 불가능하다”고 말했다. 그는 이 웜이 공격 대상에 맞춰 새로운 전략을 스스로 “추론”할 수 있다며, 기존 웜처럼 특정 취약점 하나만 막는 방식으로는 대응이 어려워질 수 있다고 설명했다.

과거에도 컴퓨터 웜은 대규모 피해를 냈다. SQL 슬래머, 컨피커, 스턱스넷 같은 웜은 특정 취약점을 악용해 수많은 컴퓨터를 장악하거나 데이터를 훔쳤다. 2017년 워너크라이는 전 세계 150개국 30만대 이상의 기기를 감염시켜 데이터를 인질로 잡고 비트코인 몸값을 요구했다.

연구진에 따르면 이 웜은 윈도와 리눅스 운영체제를 쓰는 컴퓨터에서 작동할 수 있다. AI 연산을 처리하려면 성능이 더 높은 컴퓨터가 필요하지만, 공격 대상은 같은 네트워크 안의 노트북, 프린터, 카메라처럼 상대적으로 성능이 낮은 기기까지 포함될 수 있다.

보안 전문가들은 AI가 공격 코드를 만들 수 있다는 점 자체는 놀랍지 않다고 본다. 최근 미국과 중국 등에서 개발된 AI 시스템은 컴퓨터 코드를 작성하는 능력이 크게 향상됐고, 코드를 만들 수 있다면 소프트웨어 취약점을 공격하는 데도 쓰일 수 있기 때문이다.

연구진이 특히 주목한 부분은 오픈소스 AI의 성능이 빠르게 올라가고 있다는 점이다. 앤스로픽이나 오픈AI 같은 주요 기업의 고성능 AI 모델은 공개 범위가 제한돼 있지만, 자유롭게 내려받아 쓸 수 있는 AI 모델이 강력해지면 해커의 악용을 막기가 훨씬 어려워진다.

토론토대 연구진은 실험에 사용한 오픈소스 AI 시스템이 무엇인지는 공개하지 않았다. 다만 해커들이 비슷한 웜을 만들 수 있으며, 이미 만들었을 가능성도 배제할 수 없다고 봤다.

일부 외부 전문가는 실험 결과가 곧바로 실제 대규모 피해로 이어질지는 신중하게 봤다. AI 보안 위협을 연구하는 보안업체 이레귤러의 댄 라하브 최고경영자는 실험실 조건에서 가능한 공격과 실제 세계에서 큰 피해를 내는 공격 사이에는 간극이 있다고 지적했다.

다만 라하브는 AI가 계속 발전하고 있는 만큼 기업들이 가능한 한 많은 소프트웨어 취약점을 서둘러 고쳐야 한다고 말했다. AI를 공격에만 쓰는 것이 아니라 취약점을 찾아내고 패치하는 방어 도구로도 활용해야 한다는 것이다.

토론토대 컴퓨터과학 교수인 데이비드 리는 AI가 취약점을 찾아내는 방식은 공격뿐 아니라 방어에도 쓰일 수 있다고 말했다. 웜을 바꿔 취약점을 발견하는 즉시 고치도록 만들 수도 있다는 설명이다. 그는 “기술의 힘은 그것을 무엇에 쓰느냐에 달려 있다”고 말했다.


◎공감언론 뉴시스 yunghp@newsis.com