중국산 AI에 뚫린 금융권, 개발속도는 늦출 수 있을까

안녕하세요, 자녀교육에 진심인 쌍둥이아빠 양원주입니다.

드디어 올 게 왔습니다.

9월 말부터 10월 초까지 국내 은행과 금융사가 잇따라 해킹을 당했다는 소식이 전해지면서 많은 사람들은 혼란에 빠졌습니다. 신한은행에서는 약 2만5천 명의 고객 정보가 빠져나갔고, KB국민은행과 하나은행에서도 피해가 확인됐습니다. 저축은행도 예외는 아니었죠.

공격에 쓰인 서버에서는 중국어 AI 해킹 도구 아르텍스(ARTEX)의 흔적이 나왔습니다. 아르텍스는 AI 자체가 아니라 AI에게 일을 시키는 프로그램입니다. 클로드나 챗GPT, 딥시크 같은 AI를 팀원처럼 불러 쓰는 구조죠. 원래는 보안 약점을 미리 찾는 침투테스트용으로 만든 오픈소스, 즉 누구나 내려받아 고칠 수 있는 도구였습니다. 방패를 점검하던 도구가 창으로 바뀐 셈입니다.

더 걱정스러운 점은 개발자가 이번 사태를 파악한 뒤 업데이트를 멈추고 소스를 비공개로 돌렸음에도 이미 퍼진 사본은 막을 방법이 없다는 사실입니다. 미국 보안업체 크라우드스트라이크는 중국에 사는 26세 남성이 최소 9개 은행을 노렸다고 추정했습니다.

여기에 사람의 지시 없이 스스로 움직여 문제를 일으킨 AI 사례까지 이어지면서 두려움이 커지고 있습니다. 인간이 올바른 방향으로 잘 다룰 수 있을지에 대한 의구심은 점점 커지는 상황이죠.

이런 상황에서 빅테크 수장들의 경고가 다시 떠오릅니다. 지난달 12일 앤트로픽의 다리오 아모데이 CEO는 AI의 능력을 키우는 속도를 늦춰야 한다고 밝혔고, 샘 올트먼과 일론 머스크도 뜻을 같이했습니다. 아모데이는 안전장치 없이 에이전트의 능력이 더 강력해지면 6~12개월 안에 인터넷 전체를 흔들 수 있다고까지 말했죠.

그런데 이들의 바람처럼 속도 조절이 정말 가능할까요? AI로 만든 1분짜리 영상 하나를 보시죠. 멈출 수 없는 치킨게임이 되어버린 현실을 담았는데, 저도 쉽지 않다고 봅니다.

https://youtube.com/shorts/_Lxr6BKH1v4?si=tdqYpr2S-_21VyLh

첫째, 위기가 이미 나타났는데도 개발은 전혀 멈추지 않고 있습니다.

허락 없이 바카라과 기사를 AI에 학습시켰다는 소송이 국내외에서 이어지고 있고, 지난 7월에는 오픈AI의 에이전트들이 통제를 벗어나 허깅페이스(AI 개발자들의 자료 공유 사이트)를 해킹한 사건도 있었습니다. 지난번 글에서 다뤘듯 만든 사람조차 뒤늦게 알아채는 일이 벌어지고 있죠.

둘째, 이런 분위기가 기후협정과 닮았습니다.

모두 함께 줄이자고 약속해도 먼저 이탈하는 나라가 나오기 때문입니다. 선진국이 개발도상국에 온실가스를 함께 줄이자고 요구하는 모양새와 비슷하죠. 파리협정에는 195개국이 서명했지만 올해 1월 미국의 탈퇴가 공식 발효됐습니다. 약속을 깬 쪽이 선진국이었다는 점이 씁쓸합니다. AI도 누군가 늦추자고 한다고 모두가 따를지는 별개 문제입니다.

셋째, 모두가 같은 길을 걷지 않습니다.

중국은 AI를 안전하고 통제 가능하게 발전시켜야 한다고 하면서도, 미국이 기술 경쟁을 안보 문제로 키우는 데는 반대합니다. 구글은 북한 연계 해킹 조직 APT45가 AI로 취약점 탐색을 자동화하는 연구를 하고 있다고 밝혔고, 오픈AI가 지난해 공개한 보고서에는 러시아권 해커들이 챗GPT로 악성코드를 만든 사례도 담겼습니다. 국가 차원의 입장과 별개로, 해킹 조직들은 이미 AI를 공격에 쓰고 있는 상황입니다.

미국 대통령도 AI 경쟁에서 이겨야 한다며 속도 조절에 선을 그었습니다. 누구도 먼저 멈추지 못하는 죄수의 딜레마, 즉 서로 눈치만 보다 모두 손해를 보는 상황이죠. 아모데이도 방송 인터뷰에서 이것이 가장 어려운 딜레마라고 인정했습니다.

그렇다고 손 놓고 있을 수는 없습니다. 독립 평가자나 국제 사찰기구 같은 감시 체계를 먼저 갖추자는 제안이 나오고, 금융당국도 AI 공격은 AI로 막겠다며 보안 개편에 나섰습니다. 그러는 사이에 무슨 일이 또 생길지 모른다는 걱정이 들기는 합니다.

결국 제도가 갖춰지기까지는 우리 스스로 지킬 수밖에 없습니다. 거창한 일이 아니어도 괜찮습니다. 금융 앱에 2단계 인증을 설정하고, 여러 사이트에 같은 비밀번호를 쓰고 있다면 바꿔 두세요. 쓰지 않는 금융 계정과 앱도 정리하는 편이 좋습니다. 은행이라며 걸려 오는 전화나 문자의 링크는 일단 의심해 보시길 권합니다.

그리고 이번에 당한 은행들처럼 보안에 제대로 된 비용을 쓰지 않는 곳은 멀리하는 선택을 하는 것도 방법이 아닐까 싶습니다. 크게 의미가 있을지는 모르겠지만요.

한 줄 요약 : 속도를 늦추자는 약속은 지켜지기 어렵습니다. 그러니 브레이크보다 먼저 감시 체계부터 갖추는 편이 어떨까요?

#AI해킹 #은행해킹 #아르텍스 #AI안전 #다리오아모데이 #AI속도조절 #죄수의딜레마