네덜란드의 7개 보안·정부 기관은 인공지능이 취약점을 찾는 단계부터 이를 악용하는 단계까지 공격의 여러 과정을 가속함으로써 사이버 위협 환경을 변화시키고 있다고 경고했다. 이들 기관은 취약점 처리가 늦어지면 핵심 시스템과 시민 데이터에까지 영향을 미칠 수 있다며 기관들이 즉시 행동에 나설 것을 촉구했다.
이번 경고는 네덜란드 정보보안국(AIVD), 네덜란드 군 정보보안국, 국가사이버보안센터(NCSC), 국가대테러·안보조정기구(NCTV), 검찰청, 정부정보책임자실 CIO Rijk, 국가경찰이 참여한 공동 성명에서 나왔다.
인공지능은 어떻게 공격 범위를 넓히는가?
성명은 공격자들이 인공지능을 이용해 방어 기관이 이를 탐지하기 전에 취약점을 발견하고 악용할 수 있다고 밝혔다. 또한 인공지능은 악성 소프트웨어 개발을 가속하고, 더욱 설득력 있는 피싱 메시지 작성을 지원하며, 대규모 허위정보 캠페인을 맞춤화할 수 있게 한다.
네덜란드 기관들은 이러한 활동을 수행하기 위해 반드시 가장 발전된 인공지능 모델에 접근해야 하는 것은 아니라고 강조했다. 쉽게 이용할 수 있는 모델들도 이미 이러한 유형의 공격을 지원할 수 있기 때문이다. 이는 위협이 기술적으로 고도화된 세력에만 국한되지 않고 더 광범위한 공격자들에게까지 확대될 수 있음을 의미한다.
기관들에는 실제로 무엇이 달라지는가?
성명은 관리자들에게 기본적인 보안 조치를 마무리하고, 공격 표면을 축소하며, 더 이상 보안 업데이트를 받지 못하는 노후 시스템을 교체하는 것부터 시작하라고 권고했다. 또한 업데이트를 설치하지 않거나 지연하는 행위를 명확히 비판하며, 이런 종류의 태만으로 공격이 발생하는 것은 변명의 여지가 없다고 밝혔다.
아울러 기관들은 공격자가 시스템에 침입할 수 있다고 가정하고 계획을 수립하며, 인공지능과 관련된 경고 징후에 대응할 준비를 하라는 촉구를 받았다. 방어가 취약하면 핵심 시스템이 장기간 중단되고, 대량의 이름·주소·신원번호가 유출되어 개인정보와 금전 측면의 피해가 발생할 수 있다고 기관들은 경고했다.
기술적 대응만으로는 왜 충분하지 않은가?
국가사이버보안센터 사무총장 Matthijs van Amelsfort는 인공지능이 취약점 발견부터 이를 악용하는 단계까지 공격 과정을 자동화하므로 기본적인 조치가 더욱 중요해진다고 말했다. 성명은 가장 중요한 단계가 기술적인 것에만 그치지 않고 문화적·인식 제고 측면에서도 필요하다고 본다.
certi.news의 분석: 이번 경고의 중요성은 인공지능을 별개의 위협으로 제시하는 데 있지 않고, 업데이트 관리, 시스템 설계, 직원과 관리자의 인식에 이미 존재하는 취약점을 가속하는 요인으로 제시한다는 데 있다. 제시된 자료에 따르면 성명은 모든 공격이 더 복잡해질 것이라고 입증하지는 않지만, 설득력 있는 공격 도구에 접근하는 비용이 낮아지고 있으며 업데이트되지 않은 방어 체계에 의존하는 것이 더욱 위험해지고 있다는 점은 보여준다. 남은 질문은 기관들이 이 경고를 침해 발생 후의 일시적 대응이 아니라 지속적인 운영 관행으로 전환할 수 있는지 여부다.