AI를 활용한 해킹은 아직 먼 이야기라고 생각하기 쉽습니다. 하지만 최근 공개된 Anthropic의 위협 보고서를 보면, 공격자들이 이미 Claude를 이용해 자동화된 취약점 탐색과 익스플로잇 연구 작업 흐름을 구축한 사례가 확인됩니다.
익스플로잇은 시스템의 취약점을 실제 침해에 활용하는 방법이나 코드입니다. 과거에는 공격자가 정보를 모으고, 취약점을 찾고, 공격 가능성을 하나씩 검토하는 데 많은 시간을 써야 했습니다. 이제는 AI가 이 과정의 상당 부분을 보조하거나 자동화할 수 있게 됐습니다.
침해 과정이 몇 시간으로 짧아질 수 있습니다
보고서에서 눈여겨볼 부분은 공격 속도입니다. 일부 사례에서는 한 명의 공격자가 AI를 이용해 여러 피해자를 동시에 처리했고, 침해 과정이 2~3시간 수준으로 단축된 정황도 관찰됐습니다.
공격자에게 시간은 곧 비용입니다. 예전에는 직접 분석하고 코드를 수정해야 했던 작업을 AI가 빠르게 정리해 준다면, 한 사람이 시도할 수 있는 공격의 수 자체가 달라집니다. 취약점 후보를 찾고, 공개된 기술 자료를 정리하고, 시스템 구조를 분석하는 작업도 훨씬 빨라질 수 있습니다.
문제는 공격의 경제성이 달라진다는 점입니다
Anthropic의 분석에서 중요한 표현은 공격의 경제성입니다. AI가 공격에 필요한 사람의 시간과 기술 수준을 낮추면, 공격자는 더 적은 비용으로 더 많은 대상을 살펴볼 수 있습니다.
이 변화는 대기업만의 문제가 아닙니다. 과거에는 들이는 시간에 비해 얻는 것이 적어서 공격 대상이 되지 않았을 작은 사이트도 상황이 달라질 수 있습니다. 자동화가 가능해지면 개별 사이트의 규모가 작아도 여러 곳을 한꺼번에 탐색하고 공격하는 방식이 성립하기 때문입니다.
중소기업은 기본 보안의 빈틈부터 줄여야 합니다
보안 담당 인력과 예산이 넉넉하지 않은 중소기업에는 특히 부담이 될 수 있습니다. 오래된 홈페이지 플러그인, 업데이트되지 않은 CMS, 관리되지 않는 관리자 계정처럼 평소에는 미뤄두기 쉬운 문제가 공격자에게는 쉬운 진입점이 될 수 있습니다.
모든 공격을 예측할 수는 없습니다. 다만 외부에 공개된 시스템의 업데이트 상태를 확인하고, 사용하지 않는 계정을 정리하며, 관리자 접근 권한을 필요한 사람에게만 부여하는 기본 작업은 더 이상 뒤로 미루기 어렵습니다.
AI 해킹 자동화의 위험은 AI가 무엇이든 해낸다는 데 있지 않습니다. 공격자가 적은 시간과 비용으로 더 많은 대상을 시험해 볼 수 있게 된다는 데 있습니다. 작은 서비스라고 해서 공격자의 관심 밖에 있다고 생각하기 어려운 이유입니다.
