IMF·BIS, AI 공격 속도에 맞춰 탐지·차단·복구도 빨라져야 영국은 다단계 공격 실험·싱가포르는 AI 레드티밍 한국도 금융권 모의해킹에 AI 레드티밍 첫 도입 인공지능(AI)을 활용한 사이버 공격이 고도화·자동화되면서 금융권에서도 'AI 공격에는 AI로 방어하는' 움직임이 활발해지고 있다. AI를 새로운 보안 위협으로만 바라보는 것이 아니라 취약점 탐지부터 모의 공격, 사고 대응·복구까지 방어체계 전반에 AI를 투입해 공격 속도에 맞춰 대응하려는 것이다. 우리나라 금융권도 보안체계 전반에 AI를 접목하는 데 속도를 내야 한다는 지적이 나온다. 8일 국제통화기금(IMF)이 지난 6월 발표한 '금융 부문의 AI와 사이버 보안(Artificial Intelligence and Cybersecurity in the Financial Sector)' 보고서에 따르면 주요 금융 선진국은 AI를 사이버보안에 활용하는 단계로 나아가고 있다. 취약점 탐지와 분석, 대응·복구 등에 AI를 활용해 공격과 방어의 속도 차이를 좁히려는 것이다. IMF는 AI로 사이버 공격의 속도가 빨라지고 규모가 커지면서 사람이 따라가기 어려운 '머신 스피드'의 공격·방어 환경이 조성되고 있다고 진단했다. 기존처럼 침입을 사전에 차단하는 데만 집중하기보다 공격을 신속하게 탐지하고 피해 확산을 억제한 뒤 복구하는 전 과정을 고도화해야 한다는 것이다. 실제 각국의 움직임도 빨라지고 있다. 영국 AI안전연구소(AISI)는 사이버 레인지(사이버 보안 훈련장)를 활용해 최신 프런티어(최첨단) AI가 실제 공격자처럼 취약점을 찾아 여러 단계의 침투 과정을 자율적으로 수행할 수 있는지 시험하고 있다. 영란은행(BOE)도 금융권 사이버·운영 테스트에 AI 관련 시나리오를 반영하는 작업을 진행 중이다. 미국 연방준비제도(Fed) 역시 생성형·에이전트형 AI가 금융회사와 금융 인프라, 제3자 서비스 사업자의 시스템 보안에 새로운 위험을 가져올 수 있다고 보고 감독체계를 점검하고 있다. Fed는 은행의 생성형·에이전트형 AI 활용에 기존 위험관리 체계를 그대로 적용하는 것이 적절한지 검토하는 한편 제3자 서비스 위험 관리 기준도 손질하고 있다. 일본은 금융회사와 AI·IT업체, 정부와 중앙은행을 한데 묶어 프런티어 AI 발 사이버 위협에 대응하는 민관 협력체계를 가동하고 있다. 세븐은행·미즈호은행·미쓰비시UFJ은행 등 금융회사와 아마존웹서비스(AWS)·앤스로픽·오픈AI·구글·마이크로소프트(MS)·IBM·NEC·후지쓰 등 IT기업, 일본 AI안전연구소와 재무성·일본은행(BOJ)·금융청(FSA) 등이 참여한다. 싱가포르의 사례는 한국과 같은 아시아 금융권에서 AI를 방어에 어떻게 활용하는지 보여준다는 점에서 주목할 만하다. 싱가포르통화청(MAS)은 지난 7월1일부터 주요 금융회사에 핵심 인터넷 노출 시스템을 대상으로 'AI 지원 레드티밍(AI-assisted red teaming)'을 실시하도록 요구하고 있다. 첨단 AI 모델을 활용해 사이버 공격자가 핵심 서비스를 중단시키거나 민감한 고객정보에 접근할 수 있는 공격 경로를 찾아내는 방식이다. MAS는 훈련 과정에서 확인된 취약점과 대응 사례를 금융권과 공유해 업계 전체의 방어 수준을 끌어올린다는 구상이다. 싱가포르가 AI 레드티밍을 주요 금융회사에 요구하는 단계라면 우리나라도 AI를 금융권 보안에 적용하는 작업을 본격화하고 있다. 금융감독원과 금융보안원은 올해 금융권 블라인드 모의해킹 훈련에 대고객 AI 서비스를 대상으로 한 AI 레드티밍을 처음 도입했다. 금융보안원은 AI 레드티밍 전담조직을 신설하고 AI 에이전트에 대한 평가도 강화하고 있다. 일본 SBI홀딩스와 비자의 AI 활용 사례도 눈여겨볼 만하다. SBI홀딩스는 앤스로픽과 손잡고 최신 AI 보안 기술인 'Claude Security'를 금융 분야에 적용하기 위한 공동 검증을 진행하고 있다. SBI증권 등이 개발 중인 생성형 AI 서비스를 대상으로 보안 취약점을 점검하고 금융권에 적합한 AI 보안체계를 구축한다는 계획이다. 세계 최대 결제 네트워크 사업자 중 하나인 비자는 글로벌 거래 데이터와 수백 개의 AI 모델을 활용해 이상거래를 탐지하고 있다. 비자에 따르면 2024년 한 해 수백 개의 AI 모델 등을 활용한 보안 시스템을 통해 400억달러(약 55조원) 규모의 부정행위를 차단했다. 우리나라는 AI를 방어 도구로 활용하기 위한 제도적 기반을 넓히는 단계다. 금융당국은 지난 6월부터 보안 목적의 AI 활용에 한해 일부 금융회사의 망분리 규제를 한시적으로 완화했다. 1차로 10개 금융회사가 고성능 AI를 활용한 보안 테스트에 들어갔으며, 금융당국은 AI가 방대한 소스코드를 단시간에 분석하고 취약점을 광범위하게 찾아낼 수 있다는 가능성을 확인했다. 다만 금융권 전반이 AI를 방어 도구로 적극 활용하는 단계까지 나아간 것은 아니다. 최근 신한은행 등 금융권을 겨냥한 광범위한 해킹 사고가 발생하면서 당초 이달 7일 예정됐던 2차 망분리 규제 완화 대상 금융회사 선정 일정도 연기됐다. 금융당국 인력이 사고 수습과 긴급 보안점검에 집중된 데 따른 것이다. 이와 관련해 금융위원회 관계자는 "AI 위협에 AI로 대응하겠다는 정부의 보안 방침과 기조에는 변함이 없다"며 "다만 해킹 사고 대응에 집중하면서 선정 대상자 검토를 미처 하지 못해 이번 사태가 수습되면 대상자 선정에 속도를 낼 계획"이라고 말했다. 김승주 고려대 정보보호대학원 교수는 "해킹 방어에 반드시 프런티어 AI가 필요한 것은 아니다"며 "기존에 공개된 상용 AI를 여러 개 조합하는 방식으로도 충분히 방어할 수 있고, 이미 관련 도구와 상품도 나와 있다"고 말했다. 꼭 봐야 할 주요 뉴스 [단독]다이소에 '3000원 화장품' 사러 왔다가…옆...다만 "현재는 망분리가 완전히 이뤄지지 않아 AI를 사이버보안의 모든 영역에 활용하기 어려운 상황"이라며 "레드티밍 훈련을 하는 데도 제약이 있는 만큼 AI를 보안에 전면적으로 활용하기 위해서는 완전한 망분리가 선행돼야 한다"고 강조했다. 이기민 기자 [email protected] <ⓒ투자가를 위한 경제콘텐츠 플랫폼, 아시아경제. 무단전재 배포금지, AI 학습 및 활용 금지>