취약점 검증 후 패치… 보안, AI로 지킨다

한국인터넷진흥원(KISA)이 AI(인공지능)로 보안취약점 검증 및 수정코드 후보까지 만들어주는 기술을 개발한다. AI를 보안문제 탐색뿐 아니라 실제로 고치는 과정에도 활용하려는 시도다. 내년 하반기에 개발을 마친 뒤 KISA의 취약점 대응업무에 시범적용할 예정이다.

19일 KISA에 따르면 개발 중인 기술은 다양한 경로에서 수집한 취약점 정보가 실제 보안문제인지 AI가 검증하고 문제가 확인되면 이를 고칠 수 있는 '패치코드' 후보를 제안하는 방식이다. 보안취약점은 해커가 시스템 침입에 악용할 수 있는 프로그램의 약점이나 오류를 말한다.

KISA 관계자는 "다양한 경로로 수집된 취약점 데이터 중 검증된 정보를 바탕으로 수정 패치코드안을 제안해주는 기술"이라고 설명했다. 취약점을 처음 찾아내는 탐지는 이번 연구범위에 포함되지 않았다. AI가 취약점을 검증하고 수정코드 후보를 만들면 사람이 각 단계에서 결과를 최종확인한다.

핵심은 대응시간을 줄이는 데 있다. 기존에는 취약점이 발견되면 보안담당자가 실제 위험성을 확인하고 문제가 있는 코드를 분석, 수정방법을 마련해야 했다. 반면 공격자는 AI와 자동화 도구를 활용해 여러 시스템을 빠르게 탐색하고 반복적으로 공격할 수 있었다.

KISA 관계자는 "보안취약점 검증 및 패치 후보군 생성 관련 개발은 AI 자동화 공격에 빠르게 대처하기 위한 일환"이라고 설명했다. 최근 금융권 연쇄침해사고에서도 금융당국은 침투유형을 'AI 에이전트를 활용한 자동화 공격'이라고 추정했다.

KISA는 올해 초 연구계획을 세우고 지난 8월 국가 R&D(연구·개발) 과제로 기술개발에 착수했다. 최근 금융권 사고를 계기로 새로 시작한 사업은 아니다. 지난달에는 연구에 필요한 AI 서버와 GPU(그래픽처리장치) 구매입찰을 냈고 이달에도 관련 그래픽카드 구매절차를 진행했다.

개발완료 목표는 내년 하반기다. KISA는 국가 R&D 협약에 따라 연구 기간과 내용이 이미 정해져 현재로서는 일정을 임의로 앞당기기 어렵다고 설명했다. 연구가 끝나면 KISA의 취약점 대응업무에 우선 시범적용해 정확성과 현장활용 가능성을 검증할 계획이다.

정부는 이와 별개로 보안특화 AI모델 개발과 취약점 상시신고체계 확대 등 AI 기반 보안대응도 추진 중이다. KISA의 이번 연구는 이 가운데 이미 발견된 취약점을 얼마나 빠르게 검증하고 고칠지에 초점을 맞췄다.

AI를 활용한 공격이 빨라질수록 방어 측에서도 발견된 약점을 얼마나 빨리 확인하고 막느냐가 중요해진다. KISA의 기술이 실전에 적용되면 AI가 취약점을 검증하고 수정코드 후보를 제시한 뒤 사람이 최종판단하는 방식으로 대응시간이 줄어들 것으로 전망된다.