연휴라고 해서 인터넷의 공격까지 쉬지는 않는다. 국내 금융사에서 잇따라 정보 유출이 확인되는 동안, 바다 건너에서는 AI가 찾아낸 프로그램의 구멍이 공개 하루 만에 공격에 쓰였다. 반대로 AI가 지어낸 엉터리 신고 때문에 보안 담당자의 시간이 낭비되는 일도 벌어졌다. 10월 4일 밤까지 나온 소식은 AI가 얼마나 빨라졌는지보다, 그 속도를 사람이 어떻게 감당할 것인지 묻게 한다.
금융사에서 샌 정보, 아직 추정인 공격 방식
파이낸셜뉴스 4일 보도에 따르면 정보 유출이 확인된 금융사는 일곱 곳이다. 예가람저축은행 약 4만 명, 신한은행 2만 5,729명, 현대캐피탈 주택대출 모집인 146명, KB국민은행 119명, 하나은행 89명, BNK부산은행 외주 개발 직원 11명, 웰컴저축은행 법인 고객 최대 2,200건이다. 피해 규모의 단위가 사람과 건수로 다르다는 점까지 함께 봐야 한다. 유출 항목에는 이름·전화번호뿐 아니라 연 소득, 대출 산출 한도, 일부 주민등록번호도 들어 있었다고 한다.
뉴스핌은 3일 이번 사건을 인공지능 활용 수법 등이 동원된 사이버 공격으로 설명했다. 대출 신청이나 모집인 조회처럼 외부와 연결된 서버의 약한 곳이 노려졌다는 보도다. 다만 AI를 활용했다는 설명은 아직 당국과 보안업계의 추정이지, 확인이 끝난 공격 방식은 아니다. 한 무리가 여러 금융사를 무차별적으로 두드렸을 가능성이 거론되고, 공격자 주소를 금융사끼리 공유한 뒤 추가 피해가 드러났다는 점이 근거로 꼽힌다.
금융당국은 휴일에도 긴급 점검회의를 열었고, 금융사들은 피해가 확인되면 규정에 따라 보상하겠다고 밝혔다. 거래하는 회사가 피해 목록에 있다면 앱이나 공식 홈페이지 공지에서 내 정보가 포함됐는지 확인하는 것이 우선이다. 유출 안내를 핑계로 오는 문자나 전화의 링크를 따라가는 것은 피하는 편이 안전하다. 사고 직후에는 피해 조회를 사칭한 문자에 속기 쉽다. 주민등록번호까지 유출됐다면 금융감독원의 개인정보 노출자 등록이나 명의도용 방지 서비스도 알아둘 만하다.
구멍을 찾는 속도와 공격하는 속도가 함께 빨라졌다
금융사 사건에서 AI의 역할이 추정 단계라면, 해외에서는 AI로 찾아낸 결함이 실제 공격으로 이어졌다는 보도가 나왔다. 영국 IT 매체 The Register에 따르면 보안 회사 Horizon3의 연구자는 앤트로픽의 보안용 AI 모델 미토스(Mythos)로 파일 공유 프로그램 Rejetto HFS의 심각한 인증 우회 결함(CVE-2026-61500)을 찾아냈다.
로그인 열쇠를 만드는 데 암호용이 아닌 일반 난수를 썼고, 그 난수 일부가 외부로 새고 있었다. AI는 따로 놓여 있던 두 사실을 연결해 관리자 권한을 빼앗는 길을 찾아냈다. 지키는 쪽에서는 반가운 발견이지만, 문제는 공개 이후였다. 같은 보도는 결함이 공개되고 하루도 지나지 않아 중국 쪽 주소에서 미국·일본의 취약한 서버를 공격하는 움직임이 관측됐다고 전했다. 수정된 판은 3.2.1이다.
AI가 보안 담당자의 눈을 밝게 해 주는 만큼, 드러난 구멍을 공격 도구로 바꾸는 시간도 짧아진다. 패치가 나왔다는 소식을 보고도 주말까지 미뤄 두는 습관을 돌아볼 이유다. 휴대폰·PC·공유기·집 NAS의 자동 업데이트를 켜 두고, 집이나 가게의 파일 공유 프로그램을 인터넷에 열어 두었다면 사용 중인 판을 확인할 필요가 있다. 쓰지 않는 서비스라면 꺼 두는 것이 낫다.
진짜 결함 옆에 쌓인 가짜 신고
그렇다고 AI가 내놓은 보안 결과를 모두 믿을 수 있는 것은 아니다. Tom’s Hardware 등의 3일 보도에 따르면 구글은 오픈소스 취약점 포상 제도인 OSS VRP에서 제품 결함 신고를 10월 1일부터 받지 않는다. 심각한 취약점을 발견했다는 신고가 수천 건 들어왔지만, 살펴보면 AI가 지어낸 내용이거나 보안과 무관한 코드 실수인 경우가 많았다고 한다.
구글은 공급망 관련 신고와 이미 접수된 건은 계속 처리하고, 앞으로의 방향은 2027년 1분기까지 알리겠다고 했다. 진짜 구멍을 찾아내는 AI와 가짜 구멍을 만들어 내는 AI가 같은 뉴스 안에 등장한 셈이다. 확인하지 않은 결과가 쌓일수록 실제로 고쳐야 할 문제를 살필 사람의 시간은 줄어든다. 회사에서 AI로 보고서나 점검표를 만들 때도 사정은 비슷하다. 전달하기 전에 사람이 재현하거나 원문과 대조하는 과정이 빠지면, 빨리 만든 문서가 오히려 다음 사람의 일을 늘릴 수 있다.
무료 모델이 바뀌어도 판단의 주인은 바뀌지 않는다
생활 속 AI의 조건도 달라진다. 9to5Google의 3일 보도에 따르면 구글은 10월 9일부터 무료 제미나이 앱 사용자가 선택할 수 있는 모델을 가장 가벼운 Flash-Lite 하나로 줄인다. 월 4.99달러 AI Plus 사용자는 Flash-Lite와 Flash만 쓸 수 있고 Pro는 빠진다. 월 19.99달러 AI Pro 이상은 세 모델을 유지하며, 더 비싼 등급에만 있던 Deep Think 기능도 추가된다. 한국 계정에 같은 날 같은 방식으로 적용되는지는 보도에서 확인되지 않았다.
긴 문서 요약이나 복잡한 계산을 무료 모델에 맡겼다면 모델 변경 이후 답의 깊이가 달라졌다고 느낄 수 있다. 중요한 결과는 다시 검산하고, 유료 전환은 그 차이가 실제로 필요한지 일주일쯤 써 본 뒤 판단해도 늦지 않다. 이미 구독 중이라면 안내 메일에서 적용 날짜를 확인하는 편이 정확하다.
이런 변화 속에서 오픈AI 최고경영자 샘 올트먼은 3일 X에 AI 모델에 종교적 권위를 부여하거나 사람의 판단을 맡기려는 시도가 불편하며 실제 안전 문제라고 생각한다는 글을 올렸다. 여러 매체는 종교학자들과 AI의 도덕·의식 문제를 논의해 온 앤트로픽을 겨냥한 것으로 해석했지만, 그는 특정 회사를 지목하지 않았다.
이날의 흐름을 묶으면 결국 확인의 문제로 돌아온다. AI가 공격에 쓰였다는 추정과 확인된 피해를 구분하고, 진짜 결함과 그럴듯한 신고를 가려야 하며, 모델 이름이 바뀌어도 답을 검토하는 일은 남는다. 건강·돈·법처럼 되돌리기 어려운 결정에서 AI의 답은 출발점일 뿐이다. 근거를 묻고 그 근거를 다른 곳에서 다시 확인하는 습관이, 빨라진 도구를 안전하게 쓰는 방법이다.
Leave a Reply