전 세계 웹사이트 70% 해킹 위협 노출, AI가 제로데이 취약점 발견 [팩플]

전 세계 웹사이트의 70%가 해킹 위협에 무방비로 노출되는 초유의 사이버 보안 비상 사태가 발생했다. 인간 보안 담당자들이 미처 발견하지 못했던 제로데이 취약점(미공개 보안허점)을 인공지능(AI)이 찾아내면서다. 관련 웹사이트를 오프라인으로 전환하는 등 세계 각국은 해킹 차단 긴급 대응에 나섰다.

최근 인공지능(AI)을 활용해 웹사이트를 해킹하는 경우가 늘어나고 있다. 22일 과학기술정보통신부는 프로그래밍 언어 PHP의 보안 취약점을 AI가 찾아냈다는 발표 관련, 사이버위기 경보를 '주의'로 격상하고 비상 대응 조치를 안내했다.

22일 과학기술정보통신부와 한국인터넷진흥원(KISA)은 프로그래밍 언어 PHP 개발진이 전날 공개한 PHP의 보안 취약점 두 건과 관련해 민간 분야 사이버위기 경보를 관심·주의·경계·심각 4단계 중 ‘주의’로 상향했다. 당국은 해킹 침해사고 대응 인력을 증원하고 비상출동조를 상시 대기시키는 등 비상대응 체계를 가동했다. 이날 청와대 국가안보실이 연 민·관·군 사이버 안보 긴급대책 회의에서 송기호 안보실 3차장은 “이번에 공개된 취약점은 (해커가) 인증 없이도 서버를 장악할 수 있고 이미 해외에선 공격 시도가 보고되고 있어 얼마나 빨리 조치하느냐가 피해 규모를 좌우한다”며 “원팀으로 신속하게 대응해야한다”고 강조했다.

PHP는 홈페이지나 온라인 쇼핑몰 등 다양한 웹 서비스를 만드는 데 사용되는 언어다. 미국 웹 기술 분석업체 ‘W3Techs’에 따르면 전 세계 웹사이트의 약 70%가 PHP를 사용한다. 이번 사태는 21일 PHP 개발진이 자체 보안 감사 결과 보안 취약점을 발견했다고 밝히며 이를 보완한 수정 코드를 긴급 공개하면서 알려졌다. ‘PHP2Shell’로 명명된 이 취약점을 악용하면 해커들이 짧게는 몇 초 만에 별도의 로그인이나 인증 절차 없이 원격으로 임의의 코드를 실행해 웹사이트를 해킹할 수 있다.

세계 각국은 긴급 대응에 나섰다. 미 국가안보국(NSA)은 이날 발표한 보안 권고문에서 각 기관에 관련 보안 패치를 적용 당부하며, 즉각 업데이트가 어려우면 당분간 시스템을 오프라인으로 전환하라고 밝혔다. 미국 로이터에 따르면 프랑스 내무부와 네덜란드 국가사이버보안센터 등 유럽 정부 기관 다수도 웹사이트 운영을 일시 차단했다.

배경훈 부총리 겸 과학기술정보통신부 장관이 6일 국회에서 열린 국정감사에서 최근 발생한 금융권 해킹관련 의원 질의에 답하고 있다. 장진영 기자/ 20261006

정부 당국이 긴급 대응에 나섰지만, 국내에선 보안 업데이트가 적용되지 않는 구(舊) 버전을 사용 중인 사이트가 다수인 것으로 알려지면서 우려가 커지고 있다. 프랑스 보안업체 시벨앙젤(CybelAngel)에 따르면 한국에서 PHP 8.1 이하 구 버전을 쓰는 서버는 2만5000대로, 버전이 확인된 서버 중 82%에 달했다. 8.1 이하 버전은 공식 업데이트가 제공되지 않아, 8.3 이상의 최신 버전으로 전환해야 공개된 보안 패치를 적용할 수 있다. 과기부는 PHP를 사용하는 기업·기관은 운영 중인 모든 홈페이지와 시스템의 PHP 버전을 확인하고 최신 버전으로 즉시 전환하라고 권고했다. 업데이트가 어려울 경우 외부 접속을 차단하거나 사이트를 일시 중지하라고 덧붙였다. 배경훈 과기정통부 장관 겸 부총리는 페이스북을 통해 “고객정보 유출이나 홈페이지 변조 등 피해로 이어질 수 있어 신속한 대응이 필요하다”고 말했다.

이번 사태는 인간이 수 년 간 못 찾았던 취약점을 AI 모델이 발견했다는 점에서 더 큰 관심을 받았다. 사이버 보안 회사 칼리프는 지난 8월 오픈AI가 지원한 PHP 소스코드 보안 감사 과정에서 오픈AI의 프론티어 모델 ‘GPT-5.6 솔(Sol)’을 활용해 이 취약점을 발견했다. 해당 취약점은 수 년 간 PHP 소스코드에 숨겨져 있었다. 관련 보안 담당자들은 문제 소지 코드를 수년 전 발견했는데, “실제 해킹에 사용하기엔 기술적으로 난해하다”는 이유로 별도 조치를 취하지 않았다. 하지만 AI가 이를 통해 해킹 할 수 있다는 점을 찾아내면서, 비상이 걸렸다. 두 달 간 코드를 보완해 온 개발진은 당초 22일(현지시간) 보안 패치를 공개할 계획이었으나, 이틀 전인 20일 개발자 커뮤니티에 관련 정보가 사전 유출되면서 배포 일정을 하루 앞당겼다. 구글 산하 보안업체 '위즈' 공동창업자 아미 루트왁은 “AI의 도움이 없었다면 너무 복잡해서 인간의 눈으로는 결코 발견할 수 없었을 결함”이라고 말했다.

업계에선 “AI가 인간이 못 찾는 제로데이 취약점을 점점 더 빨리 찾아낼 것”이란 관측이 나온다. 앞서 오픈AI·앤트로픽 등 AI 모델 개발사는 최근 “보안 악용 우려가 있다”며 최상위 프런티어 모델의 출시를 미뤘다. 사이버 보안 업체 이로운앤컴퍼니 윤두식 대표는 “오픈소스(소스코드나 가중치를 공개한 모델) AI 모델들이 많이 개발되면서, 굳이 최상위 모델을 쓰지 않더라도 공격 취약점을 찾는 속도가 빨라지고, 공격 시도도 늘어날 것”이라고 전망했다.

이 때문에 정부가 웹사이트 전수조사 등 선제 조치를 해야한다는 지적도 나온다. 김승주 고려대 정보보호대학원 교수는 “기업들이 스스로 운영하고 있는 서버를 제대로 파악하지 못하는 경우도 많다”며 “전수조사를 해 보안 사고를 미리 방지해야 한다”고 말했다.

더중앙플러스 : 팩플

더 자세한 기사 내용이 궁금하시다면 주소창에 링크를 붙여넣으세요.

한국인 10만명 신상 턴 그 AI…“해킹해줘” 딱 한마디 했더니
이제 해커는 사람 대신 AI를 노린다. 이메일에 숨겨놓은 한 문장으로 AI 비서가 기밀을 외부로 보내게 유도하고, 커뮤니티 게시판에 올린 코드 오류 신고 글 제목만으로 코딩 AI의 실행 권한까지 빼앗는다. 냉장고부터 TV까지 집안 곳곳을 채운 가전에도 AI가 적용되는 현시점, AI에 얼마만큼 내 정보를 맡겨도 되는 걸까. AI가 가져올 편리함의 대가부터 AI 해킹을 막는 AI 기술까지 그 손익계산서를 따져봤다.
https://www.joongang.co.kr/article/25470949

성지원([email protected])