금융硏 "AI 해킹 골든타임 잡을 범정부 컨트롤타워 필요"

(서울=연합인포맥스) 박경은 기자 = '미토스 쇼크'를 계기로 인공지능(AI) 에이전트를 활용한 사이버 공격의 현실화 가능성이 커지고 있다.

금융권 전반으로 피해가 빠르게 확산할 수 있는 만큼 사고 초기의 골든타임을 확보할 범정부 차원의 금융보안 컨트롤타워가 필요하다는 제언이 나왔다.

서병호 한국금융연구원 선임연구위원은 20일 "금융사고는 금융위원회, 통신 침해는 과학기술정보통신부, 공공 및 국방은 국정원·사이버작전사령부 등으로 분절돼 있다"며 "통신망과 금융망, 공공망 등을 동시에 공격하는 사고가 발생하면 대응이 늦어질 수 있으므로 범정부 통합 컨트롤타워를 구축하고 공동대응 프로토콜을 마련할 필요가 있다"고 밝혔다.

서 연구위원은 AI 에이전트가 고도화하면서 사이버 공격이 적은 비용으로도 대규모·장기간 이뤄질 수 있게 됐다고 진단했다.

기존 사이버 공격은 해커가 직접 공격 대상과 방식을 선택해야 했지만, AI 에이전트는 공격 대상의 취약점을 스스로 분석하고 여러 공격 방법을 반복적으로 시도할 수 있다.

특히 지난 4월 미국 앤트로픽이 공개를 준비했던 차세대 생성형 AI 모델 '클로드 미토스'는 테스트 과정에서 사이버 공격에 악용될 위험이 큰 것으로 나타나 일반 공개가 보류됐다.

앤트로픽은 이후 관련 위험에 대응하기 위한 보안 연합인 '프로젝트 글래스윙'을 결성했다. 앤트로픽은 이 프로젝트를 통해 50여개 글로벌 기업 및 1천개의 오픈소스 프로젝트에서 한 달간 1만개가 넘는 보안 취약점을 발견하기도 했다.

국내 금융당국도 고성능 AI를 활용한 보안 위협에 대응해 금융회사의 보안 목적 AI 사용을 허용하도록 망분리 규제를 완화하고 있다. 보안·AI 역량을 갖춘 금융회사에 대해서는 망분리 규제의 전면 해제도 검토하고 있다.

과기부는 올해 5월 오픈AI의 글로벌 사이버 신뢰 접근 협의체인 GTAC 참여를 발표했으며, 국정원은 AI기반 보안관제 도입 기관에 가산점을 신설하기도 했다.

서 연구위원은 이 같은 부처별 대책과 별도로 범정부 차원의 금융보안 컨트롤타워가 필요하다고 주장했다. 미국은 CISA, 영국은 NCSC, 일본은 국가사이버총괄실에서 이러한 컨트롤타워 역할을 수행 중이다.

또 망분리 규제 완화 과정에서 금융회사 간 보안 격차가 확대될 가능성도 경계했다.

대형 금융회사는 보안인력과 AI 시스템 구축에 대규모 투자가 가능하지만, 중소 금융회사는 비용과 인력 부족으로 동일한 수준의 대응체계를 갖추기 어렵다.

보안 역량이 높은 금융회사에 먼저 망분리 규제를 완화하면 대형사와 중소형사 간 디지털 경쟁력뿐 아니라 보안 수준의 차이도 벌어질 수 있다는 설명이다.

이미 모든 금융회사가 오픈뱅킹과 마이데이터를 통해 연결되어 있기에, 중소형 금융사의 금융보안도 업권 전체의 보안에 영향을 미칠 수 있다.

서 연구위원은 "제로트러스트 체계의 도입을 전제로 중소형 금융회사의 물리적 망분리 규제도 순차 완화할 필요가 있다"고 설명했다.

그는 "국내 오픈뱅킹과 마이데이터는 단일 API 인프라로 연결돼 하나의 금융사나 핀테크가 침해되면 다른 회사의 계좌도 위험해질 수 있다"며 "이상징후 탐지 시 시스템이 자동으로 해당 이용기관의 접근토큰을 임시 폐기하는 동태적 위험관리 체계의 구축이 중요하다"고 강조했다.

gepark@yna.co.kr