얼마 전 새벽 한 카드사 보안팀으로부터 문자를 받았다. 밤새 해외에서 해커가 카드 비밀번호를 알아내려 했지만 카드사가 막았다는 내용이었다. 놀란 마음에 카드 사용을 중지했다. 해커는 복잡한 코드를 입력하고 화면에 나타나는 정보를 분석하며 보안 시스템의 허점을 찾는다.

그런데 이제는 AI가 사람이 미처 발견하지 못한 보안 취약점까지 찾아내면서 사이버 보안의 양상이 달라지고 있다.

최근 프로그래밍 언어 PHP에서 치명적인 보안 취약점이 드러나면서 전 세계 인터넷 보안에 비상이 걸렸다. PHP는 웹서버에서 동적 웹페이지를 구동하는 데 널리 쓰이는 스크립트 언어다. 세계적으로 널리 쓰이는 웹사이트 제작 도구 워드프레스와 국내 각종 웹게시판 시스템도 PHP를 기반으로 한다.

PHP에서 해커가 로그인 없이 외부에서 서버의 명령을 실행할 수 있는 보안 취약점 두 건이 공개됐다. 보안업체 캘리프 연구진이 오픈AI의 첨단 추론 모델을 활용해 오픈소스 코드를 분석하던 중 발견한 것으로, 약 10년 전 작성된 PHP 핵심 코드에 숨어 있던 결함이었다. 사람의 눈을 피해 오랫동안 잠복했던 보안 구멍을 AI가 찾아낸 것이다.

국내에서도 PHP를 사용하는 것으로 추정되는 서버가 11만2000개에 이르는 것으로 알려지면서 우려가 커지고 있다. 특히 구형 소프트웨어를 사용하는 영세 업체와 오래된 쇼핑몰은 보안 인력이 부족해 취약점이 발견돼도 신속히 대응하기 어렵다. 실제 공격으로 이어지면 개인정보 유출이나 홈페이지 변조 등의 피해가 발생할 수 있다.

AI의 등장은 보안 취약점을 발견하고 대응하는 기존 방식에 큰 변화를 가져오고 있다. 지금까지 보안 전문가들이 방대한 코드를 일일이 살펴야 했던 작업을 AI는 빠르게 수행할 수 있다. 이러한 기술이 공격자의 손에 들어가면 취약점을 탐색하고 공격을 자동화하는 데 악용될 위험이 커진다.

AI가 보안의 방패인 동시에 창이 될 수 있다는 의미다. PHP 취약점에 효과적으로 대응하려면 웹사이트 운영자의 신속한 보안 업데이트와 관련 기관의 시스템 점검 지원이 필요하다. 아울러 보안 인력이 부족한 중소 업체가 취약점에 적절히 대응할 수 있도록 지원을 강화해야 한다.

앞으로 AI를 악용한 사이버 공격은 더욱 정교해질 것이다. 정부는 PHP 취약점 대응에 그치지 않고, AI 시대에 걸맞은 사이버 보안 체계 전반을 점검하는 한편 국가 차원의 대응 전략을 서둘러 마련해야 한다.

이은정 논설실장