[서울=뉴시스]윤정민 기자 = 국내 금융권 해킹에 인공지능(AI) 침투 테스트 도구 '아르텍스(ARTEX)'가 악용됐을 가능성이 제기된 가운데 이 도구와 관련된 서버가 세계 14개 국가·지역에서 약 360개에 달한다는 조사 결과가 나왔다.

보안 점검을 자동화하는 공개 도구가 인터넷상에 널리 설치된 만큼 공격자의 악용 가능성에 대비해야 한다는 분석이다.

4일 오아시스시큐리티에 따르면 회사는 자체 분석 플랫폼 '아가사(AGATHA)'로 지난달 23일부터 이달 3일까지 수집한 데이터를 분석해 아르텍스 관련 고유 인터넷주소(IP) 359개를 확인했다.

이번 분석이 주목받는 배경은 금융권에서 잇따라 확인된 정보 유출 사고다. 신한은행에서는 대출모집인 전용 서비스의 본인 확인 절차를 우회한 외부 접근으로 고객 약 2만5000명의 개인정보가 유출됐다. KB국민은행과 하나은행에서도 고객 정보가 유출됐다.

특히 신한은행 공격에 쓰인 것으로 추정되는 웹 서버의 웹페이지 제목에서 '자율 침투시험 콘솔'을 뜻하는 아르텍스 관련 중국어 문구가 발견됐다. 다만 오아시스시큐리티는 이러한 흔적 만으로 실제 공격에 아르텍스가 사용됐다고 단정할 수 없으며 금융당국이나 금융기관의 공식 조사로 사용 사실이 확인된 것은 아니라고 설명했다.

아르텍스는 거대언어모델(LLM)을 활용하는 공개 소프트웨어다. 중국 바이두 보안응급대응센터(BSRC)가 개최한 '에이전트+' 공방 능력 챌린지에서 우승한 프로젝트로 알려졌다.

아르텍스는 보안 담당자가 점검 대상과 범위를 정하면 AI 에이전트가 시스템을 탐색하고 취약점을 분석하며 필요한 보안 도구를 실행하도록 설계됐다. 다만 공격자가 악용하면 취약점 탐색과 공격 준비에 드는 시간과 수고를 줄일 수 있다.

관련 IP는 미국 236개(65.7%), 중국 53개(14.8%), 홍콩 39개(10.9%)순이었다. 세 국가·지역이 전체의 91.4%를 차지했다. 한국에서도 4개가 관측됐다.

이 수치는 서버 위치를 뜻하며 공격자의 국적이나 소재지를 보여주는 것은 아니다. 아르텍스는 정상적인 보안 점검에도 쓰이므로 관측된 서버 모두를 공격용으로 볼 수도 없다.

오아시스시큐리티는 별도로 추적 중인 AI 기반 자동화 도구 '사이버스트라이크AI' 관련 서버도 약 1000개 규모로 관측되고 있다고 밝혔다. 회사는 특정 도구보다 AI로 침투 과정을 자동화하는 시스템이 인터넷상에서 상당한 규모로 관측된다는 점에 주목해야 한다고 설명했다.

아르텍스 관련 IP 중 9개에서는 사이버스트라이크AI 관련 정보도 함께 발견됐다. 다만 회사는 동일 공격자가 두 도구를 함께 사용했다고 단정할 수는 없다고 말했다. 서버가 서로 다른 시점에 재사용됐거나 여러 서비스가 설치됐을 가능성이 있어 운영 이력 등을 추가로 분석해야 한다는 설명이다.

AI 에이전트는 수집한 정보를 분석해 다음 행동을 정하고 필요한 도구를 실행할 수 있다. 새로운 해킹 수법을 개발하지 않더라도 알려진 취약점을 더 빠르고 넓은 범위에서 탐색할 수 있다는 것이다.

회사는 공격이 발생한 뒤 흔적을 분석하는 대응에 더해 새로운 AI 침투 도구가 등장하는 단계부터 관련 서버와 운영 양상을 추적할 필요가 있다고 강조했다.

오아시스시큐리티 관계자는 "AI 공격 자동화가 본격화되면 공격자가 확보할 수 있는 가장 큰 이점은 새로운 공격 기술 자체보다 속도와 규모가 될 가능성이 높다"며 관련 도구와 서버를 추적하고 악용 가능성에 대비할 필요가 있다고 강조했다.


◎공감언론 뉴시스 alpaca@newsis.com