AI가 사이버 공격의 문턱을 낮추고 있다. 취약점 탐색부터 공격 코드 작성, 침투 경로 분석까지 AI가 대신 수행하는 시대가 열리고 있다.
국내 보안업계도 시험대에 올랐다. 그동안 공공·금융 규제와 인증, 장비 도입을 기반으로 성장해온 K-보안 산업이 'AI 해킹'이라는 새로운 위협 앞에서 체질 개선 압박을 받고 있다.
특히 보안업계가 주목하는 것은 '미토스 쇼크'다. 미토스 자체보다 더 큰 문제는 그 이후다. 일부 고급 해커나 국가 수준 공격 조직이 활용하던 공격 자동화 기술이 일반화될 수 있기 때문이다.
AI가 공격을 돕기 시작하면 침해 사고의 속도와 빈도는 달라진다. 공격자는 더 적은 비용으로 더 많은 대상을 노릴 수 있다. 보안 인력과 예산이 부족한 기업과 기관이 먼저 흔들릴 가능성이 크다.
국내 보안 시장은 오랫동안 공공·금융 규제와 인증 제도를 중심으로 성장해왔다. 규제는 보안 수준을 끌어올리는 장치였지만, 동시에 시장의 한계도 만들었다.
보안 투자가 실제 위험을 줄이는 기술보다 점검 기준을 만족시키는 제품 도입에 집중될 수 있어서다. 보안업체들도 글로벌 시장에서 통하는 문제 해결형 기술보다 국내 제도와 고객 요구에 맞춘 기능 개발에 치우칠 수 있다.
한 보안업계 관계자는 "규제는 필요하지만 규제가 지배적이면 안 된다"며 "AI 공격 시대에는 무엇을 샀느냐보다 실제 침해를 얼마나 빨리 탐지하고 대응하느냐가 중요해진다"고 말했다.
장비 판매 중심 구조도 도마 위에 올랐다. 국내 보안업계는 방화벽, EDR, NDR 등 솔루션을 납품하고 유지보수하는 방식에 익숙하다.
EDR은 PC와 서버 등 단말의 이상 행위를 탐지하고 대응하는 솔루션이다. NDR은 네트워크 트래픽을 분석해 비정상 통신과 침입 정황을 찾아내는 솔루션이다.
문제는 AI 공격 시대에는 장비를 들여놨다는 사실만으로 충분하지 않다는 점이다. 공격은 빨라지고 자동화된다. 보안도 실시간 탐지, 분석, 대응 체계로 움직여야 한다.
보안업계에서는 "방화벽을 샀느냐"보다 "침해를 얼마나 빨리 발견했느냐", "피해 확산을 얼마나 줄였느냐"가 핵심 지표가 될 것이라는 말이 나온다.
정부도 대응 논의에 들어갔지만 업계의 답답함은 크다. 미토스 이슈 이후 과학기술정보통신부가 보안업체들을 불러 의견을 듣고 있지만, 명확한 방향 제시는 아직 부족하다는 지적이다.
한 보안업계 관계자는 "업체를 불러 의견만 들을 게 아니라 KISA 등 공공기관이 방향을 제시해야 한다"며 "전 세계적으로 미토스 쇼크가 커지고 있는데 정부 보안사업은 실제로 시작도 못한 상황"이라고 말했다.
K-보안의 해외 경쟁력 문제도 다시 불거지고 있다. 국내 보안업체들은 한국식 규제와 고객 요구에 맞춰 제품을 고도화해왔다. 국내 시장에서는 강점이지만 해외에서는 한계가 될 수 있다.
해외 고객이 원하는 것은 특정 규정 대응 기능보다 실제 공격을 막고 사고를 줄이는 보편적 효용이다. AI 공격 시대에 이 격차가 커지면 글로벌 보안기업 의존도는 더 높아질 전망이다.
보안은 국가 안보와 직결되는 소버린 산업이다. 공공기관, 통신망, 금융망, 제조 설비, 데이터센터 보안이 해외 기술에 과도하게 의존하면 디지털 주권 문제로 이어질 수 있다.
국내 기술이 실제 사고 대응 능력을 입증하지 못하면 국내 기업과 기관도 글로벌 제품을 선택할 수밖에 없다. AI 시대 K-보안의 경쟁력은 인증서가 아니라 실전 대응력에서 갈릴 수 있다는 얘기다. 국내 보안 시장이 규제 대응에서 사고 대응 중심으로 바뀌어야 한다는 목소리가 커지는 이유다.
모든 기업이 자체 보안 전문가를 충분히 확보하기 어려운 만큼 서비스형·구독형 보안 모델도 커질 가능성이 크다. 장비를 사서 설치하는 방식에서 보안 운영과 대응을 지속적으로 제공받는 방식으로 무게중심이 이동할 수 있다.
한 업계 관계자는 "한국은 오랜 기간 북한 등 국가급 위협에 노출되며 다양한 침해 사고를 겪었다"며 "이 경험을 실제 대응 기술과 서비스로 전환한다면 K-보안의 기회가 될 수 있다"고 말했다.
