AI의 해킹 능력이 심각하게 과소평가되어 있다?

2026년 8월 27일 Finalcial Times 에서 "AI’s hacking capabilities are severely underestimated" 라는 AI 해킹에 대한 강력한 경고와 경각심을 세기는 Opinion 이 올라왔다.

 

이 Cyber Security Opinion 의 저자인 Tarah Wheeler 는 정보보안 연구원이자 TPO 그룹의 최고보안책임자(CSO) 이다. 보보안 연구원이자 생성형 인공지능(AI) 도구의 구축, 운영, 분석 및 적대적 테스트(adversarial testing) 분야에서 풍부한 경험을 가지고 있다.

 

그는 AI 기술이 사이버 보안과 해킹 역량에 미치는 실질적인 위험성을 경고하고, 공공 부문의 사이버 방어선과 민관 파트너십의 중요성을 강조하고 있다.

 

 

💸공격의 비용 감소와 방어의 비용 증가:

• AI가 발견하는 보안 취약점이 폭발적으로 증가하면서 사이버 공격을 수행하는 비용은 훨씬 저렴해진 반면, 이를 방어하는 비용은 비싸지고 어려워졌다.
• 과거에는 취약점을 파악하고 익스플로잇(취약점 공격 스크립트)을 작성해 시스템의 약점을 매핑하는 과정에 전문성과 창의성이 필요했지만, 이제는 AI 덕분에 훨씬 적은 시간과 비용으로 시도할 수 있게 되었다.

🔨예측 불가능한 ‘로그 모델(Rogue Models)’의 위협:

• OpenAI, Meta, Anthropic 등은 자사 AI 모델이 지시사항이나 사용자의 의도를 벗어나 스스로 취약점과 익스플로잇을 찾아내며 ‘통제를 탈출(escaped containment)’하는 현상을 보고했다.
• 생성형 AI 도구들은 거의 모든 시스템에 적용할 수 있는 값싼 디지털 지렛대 역할을 놀라운 속도로 해내고 있다.

⚠️능력 격차와 오픈웨이트(Open-weight) 모델의 위험성:

• Claude 같은 공개된 AI 구독 모델에는 공격 도구 생성을 방지하는 안전장치가 있지만, 개인이 자신의 하드웨어에서 오픈웨이트(Open-Weight) 모델을 직접 구동할 때는 이러한 안전장치가 없으므로 당연히 작동하지 않는 문제가 있다.
• 이로 인해 사이버 보안 분야에서 윤리적 검증 과정을 거치지 않은 사람들도 강력한 공격 도구를 손에 쥐게 되었다.

🏦의료 및 공공 부문의 피해 사례:

• 2025년 미국 의료 부문을 대상으로 한 랜섬웨어 및 데이터 유출 사고는 642건으로 주요 기반시설 중 가장 많았으며, 평균 피해 비용은 건당 740만 달러에 달했다.
• 저자는 AI 시스템이 소프트웨어 취약점에 맞춰 필요한 패치를 스스로 수행할 수 있게 되기까지는 아직 2~3년 가량 남았다고 진단하였다.

👿정부 지원 및 공공 인프라 약화:

• 미국 주 및 지방 정부를 돕기 위해 설립된 다주 정보공유·분석센터(Multi-State Information Sharing and Analysis Center)가 2025년 9월 연방 자금을 상실했으며, 사이버안전국토안보전담국(CISA) 역시 대폭 축소되었다.
• 보안 연구원들은 조직들이 문제를 해결하기를 기다리다 지쳐 취약점을 공개하고 있으며, 익명 연구원인 Nightmare Eclipse는 이미 마이크로소프트(Microsoft)에 영향을 미치는 여러 버그의 세부 정보를 공개했다.

🫟공공-민간 파트너십의 한계:

• 2026년 4월 앤스로픽은 취약점 발견 및 패치를 돕는 '프로젝트 글래스윙(Project Glasswing)' 을 출범했으나, 6월에는 미국 행정부의 명령에 따라 가장 뛰어난 모델인 Fable과 Mythos의 접근을 중단해야 했다.
• 신규 모델 접근 차단과 취약점 보고서 90일 기한 미준수 등으로 인해 민관 파트너십의 안정성과 신뢰성이 크게 흔들렸다.

🔖결론 및 시사점:

• 현장의 IT 책임자들에게 필요한 것은 불필요한 AI 혁신 계획이 아니라, 과거에 존재했던 공공 사이버 방어선과 지원이다.
• 사이버 방어는 제대로 작동할 때는 눈에 띄지 않지만, 실패할 경우 인류의 건강, 식량·재화 접근성, 교통, 자유로운 투표권 등에 막대한 피해를 초래하게 될것이다.

😧사견:

• 최근 대한민국에서도 통신사 3사, 티빙 등 개인정보유출 등의 정보보안 사고의 빈도가 높아지고 있다.
• 국내에서 아직 직접적인 공격 수단으로써 AI를 활용한 사례는 많지 않지만, 이 역시도 문제다.
• AI가 없는 상황에서 피해 규모, 강도, 빈도가 증가하고 있지만, 🔥불난 옆집 반면교사는 고사하고 손도 못쓰고 있는 상황이다.
• 실력의 문제라기보다 관심과 투자의 문제이다. 보안솔루션, 보안컨설팅, 보안전문가들을 후려쳐 적당히 도입하고, 사고나면 책임을 전가하는 장치로만 사용할터이니 근본적인 문제해결의 의사가 전혀없다고 할 수 있다.
• 이런 대한민국에서 AI를 적극적으로 활용한 공격이 발생하게된다면....ㅠㅠ

 

참고 및 출처

• https://www.ft.com/content/3f154376-fd8b-4255-ac5b-538c5e90fc40
• https://techcrunch.com/2026/08/12/after-microsoft-threatened-legal-action-a-security-researcher-publishes-a-new-windows-zero-day-bug/