주요 금융지주가 은행 이자이익을 바탕으로 3분기에도 호실적을 낼 전망이다. 하지만 연말 은행장 인선을 앞두고 ‘금융권 연쇄 해킹’사고가 새 변수로 떠올랐다. 실적뿐 아니라 고객정보를 지킬 능력도 차기 행장의 평가 기준이 될 수 있다는 관측이다. 금융정보업체 에프앤가이드에 따르면 5일 기준 KB·신한·하나·우리금융 등 4대 금융지주의 3분기 합산 순이익(지배주주 기준) 전망치는 5조 6485억원이다. 전년 동기보다 약 3.0% 늘어난 규모다. 가계대출 영업은 일부 제한됐지만 금리 상승으로 은행 이자이익에 유리한 환경이 조성된 영향이다. 주요 금융지주는 전년 대비 10% 안팎의 순이익 성장세가 예상된다. 증권가에 따르면 KB금융의 3분기 순이익 전망치는 전년 동기보다 8.7% 늘어난 1조 8322억원이다. 연간으로는 6조 6427억원을 기록해 처음으로 ‘6조 클럽’에 진입할 전망이다. 신한금융은 3분기 1조 6038억원, 하나금융은 1조 2275억원으로 각각 12.7%, 8.4% 증가할 것으로 예상된다. 신한금융의 연간 전망치는 5조 8849억원으로 6조원에 육박한다. 우리금융의 3분기 전망치는 9850억원으로 20.8% 감소할 것으로 보인다. 다만 지난해 보험사를 싸게 인수하면서 반영된 일회성 이익으로 비교 기준이 높아진 영향이 있다. KB국민·신한·하나·우리·NH농협 등 5대 은행장 임기는 연말에 일제히 끝난다. 각 금융지주는 은행 이사회의 역할을 확대하며 인선에 착수했다. 실적 전망은 밝지만 국민·신한·하나은행 등에서 고객정보가 유출되면서 ‘은행장 책임론’이 변수가 될 수 있다. 임원별 책임과 의무를 정한 책무구조도를 도입했어도 보안 투자와 인력 배치의 최종 의사결정권자는 은행장이기 때문이다. 금융권 관계자는 “앞으로 금융지주 자회사대표이사후보추천위원회나 은행 임원후보추천위원회에 사이버 보안 위협에 어떻게 대응할지 명확한 비전을 제시하는 후보가 은행장 인선에서 유리해질 것”이라고 내다봤다. 차기 행장의 역량을 평가할 때 AI와 정보보호에 대한 이해도도 비중이 커질 수 있다는 얘기다. 국회도 책임을 따질 방침이다. 정무위원회 여당 간사인 박상혁 더불어민주당 의원은 “국정감사에 5대 시중은행장들을 증인으로 출석시켜 원인과 책임을 엄중히 묻겠다”고 밝혔다. 정무위 관계자는 “여야 이견이 크지 않아 은행장들의 출석이 예상된다”고 말했다. 오는 19일 금융감독원 국감에 추가 증인으로 채택하는 방안이 거론된다.

신한·KB국민·하나은행 등 대형 시중 은행 3곳과 예가람저축은행에서 고객 개인정보가 유출됐다. 그동안 개인정보 유출은 내부 직원의 일탈이나 외부 업체의 부주의 때문이었다. 이번 유출은 보안 관리가 허술한 대출모집인용 홈페이지, 직원용 모바일 업무 시스템 등 ‘뒷문’을 통한 공격이었다. 이억원 금융위원장은 어제 “여러 업권에서 사고가 단기간에 다수 발견되고 있다”며 “인공지능(AI)을 활용한 공격 가능성도 배제할 수 없다”고 밝혔다. 해커의 인터넷 프로토콜(IP) 주소가 일부 중복됐고, 공통으로 반복·자동화된 외부 공격이 확인됐다. 중국어 기반 AI 해킹 도구가 사용되기도 했다. 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스’의 흔적이 발견된 사실은 무엇보다 주목할 부분이다. 아르텍스는 공개 플랫폼이어서 중국발 공격으로 단정할 수는 없으나, 국제 공조를 통해 정밀하게 파악해야 할 문제다. AI 기술이 결합하면서 해킹 양상은 파괴적으로 변하고 있다. 예전에는 해커가 시스템의 허점을 찾기 위해 직접 수많은 변수를 넣었지만 이제는 AI에 목표만 정해주면 정보 수집, 취약점 탐색, 공격 실행, 결과 분석까지 모든 과정을 스스로 수행한다. AI 악용에 따른 보안 위협의 심각성은 예상됐던 일이기도 하다. 삼성SDS가 국내 정보기술(IT) 및 보안 담당자들에게 올해 기업에 가장 큰 영향을 미칠 사이버 보안 위협을 물었더니 ‘AI 기반 보안 위협’이 압도적인 비중(81.2%)으로 꼽혔다. 이번 해킹은 보안이 허술한 지점에서 발생했지만 금융사의 잘못된 체계 탓도 있었다. 본인 확인을 거치지 않고 대출신청 내역이나 기업 대표 정보를 조회할 수 있거나, 직원 업무용 모바일 단말기에 대한 접근 통제가 빠졌거나, 권한 없이도 특정 웹서비스에 접근할 수 있었다. 해킹 사고 유형이 공유된 만큼 대응 소홀로 유사 사례가 재발한다면 경영진에게 엄중하게 책임을 물어야 한다. 오픈뱅킹으로 은행은 물론 핀테크 기업, 증권, 카드 등 다양한 업권이 연결된 현실이다. 연결 고리가 해킹의 주요 도구가 되지 않도록 금융권의 공동 대응이 절실하다. 뚫린 이후의 대응도 중요하다. 침범 당했더라도 핵심 정보까지 접근하지 못하도록 모든 정보 요청을 매번 확인해야 한다. 온라인동영상서비스(OTT)와 전자결제, 미용의료 정보 플랫폼 등에서 개인정보가 잇따라 유출되고 있다. 서로 다른 곳에서 유출된 개인정보들이 결합해 대형 사기로 번질 수 있다는 불안감도 커진다. 개별 회사의 보안 강화는 물론 국가 차원에서 AI 방어막을 구축해야 하는 시점이다.

은행·저축은행·캐피털 등 금융권 전반으로 개인정보 탈취 시도가 확산하는 가운데, 중신용자를 위한 ‘1.5금융’을 표방하는 온라인투자연계금융업(P2P·온투업)계에서도 해킹 피해가 확인됐다. 4일 금융권에 따르면 국내 1호 등록 온투업체인 피에프씨테크놀로지스(PFCT·옛 피플펀드)에서 지난달 27일 오전 3시 30분쯤 외부의 무단 접근으로 고객 302명의 정보가 유출됐다. 고객별로 유출 항목은 다르지만 이름·주민등록번호·전화번호 등이 포함된 것으로 전해졌다. 다른 금융사와 마찬가지로 인공지능(AI)을 활용한 공격으로 추정된다. 대응이 느슨해질 수 있는 추석 연휴 새벽에 발생했다. PFCT 관계자는 “대출정보는 유출되지 않은 것으로 파악하고 있다”며 “실시간 대응으로 추가 피해를 막았으며 금융감독원에 보고한 뒤 조사 중”이라고 밝혔다. PFCT는 관계기관 조사 결과가 확정되는 대로 고객 보상안을 마련할 계획이다. 온투업체는 투자자에게 모은 돈으로 대출을 내주고, 차주가 갚은 원리금을 투자자에게 돌려주는 방식으로 운영된다. 대형 금융사보다 규모가 작아 보안에 투입할 자금과 인력이 제한적이다. 소규모 핀테크의 보안 취약점을 노린 AI 해킹이 확산할 수 있다는 우려가 나온다. 다른 온투업체인 모우다도 지난달 27~28일 제3자의 웹사이트 불법 접근을 통한 개인정보 유출 가능성을 확인했다고 29일 공지했다.

신한·국민·하나 등 영업 통로 침투정보보호 투자 비중은 10%도 안 돼 금융권 정보 유출사고는 해커가 특정 회사를 겨냥한 것이 아니라 ‘인공지능(AI) 에이전트’로 무차별 공격을 가하며 금융사 보안의 빈틈을 찾아낸 결과로 보인다. 고객의 거래·신용 정보를 관리하는 핵심 금융업무 시스템보다 상대적으로 관리가 소홀했거나 자율 점검 대상인 직원용·업무 지원 시스템이 공격의 통로가 된 것이다. 4일 금융당국에 따르면 지난달 28일부터 이어진 공격으로 대출모집인용 간편 조회서비스(신한은행), 직원용 모바일 업무지원시스템(KB국민은행·부산은행), 영업지원시스템(하나은행) 등에서 고객과 외주 직원의 개인정보가 유출됐다. 현대캐피탈에서도 주택대출 모집인 조회 페이지가 공격받았다. 일부 금융사는 휴대전화 인증 등 본인 확인 없이 대출 신청 내역과 기업 대표 정보를 조회할 수 있도록 서비스를 개발한 것으로 파악됐다. 직원용 모바일 서비스를 누구나 접근할 수 있게 열어둔 경우도 있었다. 홈페이지의 취약점을 이용해 서버에 악성 코드를 설치한 사례도 발견됐다. 기본적인 인증과 보안 시스템이 제대로 작동하지 않은 셈이다. 이억원 금융위원장은 이날 ‘전 금융권 긴급 점검회의’에서 “상대적으로 관리의 관심이 덜 했던 영역이 공격 대상으로 활용된 사례가 확인되고 있다”며 인증 조치 미흡과 업무에 필요한 범위를 넘는 정보 보관·조회 등을 사각지대로 지목했다. 금융감독원의 연례 전자금융기반시설 취약점 점검과 과학기술정보통신부의 주요 정보통신기반시설 점검은 인터넷뱅킹 등 고객의 거래·신용 정보 관련 시스템에 초점을 맞춘다. 이번에 공격받은 외부·업무 지원 시스템 일부는 점검 대상에서 빠져 있다. 금융당국과 은행권 관계자들은 상대적으로 중요도가 낮은 시스템의 보안 점검은 대부분 금융회사 자율에 맡겨져 있다고 설명했다. AI에이전트를 활용한 공격 수법은 빠르게 고도화되지만 금융회사의 보안 투자는 이를 따라가지 못한다는 지적도 나온다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 지난해 KB국민·신한·하나·우리은행의 IT 투자액 중 정보보호 투자 비중은 각각 8.15%, 7.96%, 9.02%, 9.06%로 모두 10%를 밑돌았다. 우리은행의 정보보호 투자액은 444억원에서 364억원으로 1년 새 약 18% 줄었다. 신한은행도 IT 투자액은 늘렸지만 정보보호 투자액은 제자리걸음해 비중이 0.67% 포인트 낮아졌다. 한편 경찰청 사이버테러대응수사대는 지난 2일 신한은행 등 해킹 피해가 확인된 금융사를 대상으로 입건 전 조사에 착수했다.

금융사 정보 유출에 인공지능(AI) 해킹 도구가 사용됐다는 정황이 나오면서 AI가 기존 보안의 패러다임을 송두리째 뒤흔들 것이라는 이른바 ‘미토스 쇼크’가 현실화했다는 우려가 나온다. 보안 전문가들은 ‘방어용 AI 시스템’ 구축과 범정부 차원의 사이버보안 컨트롤타워가 필요하다고 입을 모았다. AI의 고도화된 해킹에 맞서 AI가 방어 체계를 구축하는 전략이 가장 먼저 거론된다. 이런 전술 분야를 보안 업계에서는 ‘방어적 AI’ 또는 ‘AI 기반 사이버 보안’ 시스템이라고 부른다. 공격적 AI에 대응해 이상 징후를 탐지하고 취약점을 분석해 위협을 실시간으로 차단하는 기술 체계를 뜻한다. 챗GPT를 개발한 오픈AI는 지난달 초 AI를 활용해 보안 취약점을 찾아내고 이를 수정하는 자동화 시스템인 ‘디펜스 팩토리’를 공개했다. 황석진 동국대 정보보호대학원 교수는 4일 “칼이 요리사 손에 쥐어지면 요리 도구가 되지만 범죄자의 손에 들어가면 흉기가 되는 것”이라며 “AI의 공격을 방어하려면 AI를 통해 취약점을 찾고 공격 가능한 경로를 상시 모니터링하는 것이 중요하다”고 말했다. 청와대 국가안보실, 과학기술정보통신부(한국인터넷진흥원), 국가정보원, 개인정보보호위원회 등으로 분산된 사이버보안 대응 기능을 총괄할 범정부 컨트롤타워가 필요하다는 지적도 꾸준히 제기되고 있다. 임종인 고려대 정보보호대학원 명예교수는 “사이버 안보 문제를 조율하고 진두지휘할 부총리급 컨트롤타워가 필요하다”고 언급했다. 정보 유출이 기업 경영과 직결되도록 ‘정보보호’에 대한 인식 제고가 필요하다는 의견도 나온다. 정보 유출 사고가 난 기업들이 단순히 보안 책임자를 교체하는 것으로 사태를 마무리해선 안 된다는 것이다. 황석진 교수는 “정보 유출 사고가 나면 회사가 망한다는 인식이 들도록 해야 한다”며 “보안 관리 인력을 늘리고 최고경영자(CEO)를 비롯한 경영진의 경영 실적으로 책임을 물을 수 있는 제도적 장치가 필요하다”고 지적했다.

시간·인력 한계 뚫고 동시다발 공격여러 단계를 자체 판단하며 ‘고도화’인간 방어 속도로는 대응 못할 수도보안 업계, 탐지·피해 최소화 무게 ‘은행권 해킹’을 계기로 인공지능(AI) 사이버 공격에 대한 우려가 높아졌다. 해커가 AI를 활용해 시간·인력의 한계를 넘어 빠르고 무한 반복적인 고도화 공격에 나서면서 기존 보안체계가 감당하기 버겁다는 것이다. AI가 스스로 판단·실행하는 ‘에이전트’로 넘어가는 과정에서 예고된 위험이 현실화하면서 인간이 AI의 공격을 따라잡지 못하는 미래가 앞당겨졌다는 경고도 나온다. 4일 보안업계에 따르면 기존의 자동화 해킹이 미리 짜놓은 명령을 반복했다면 AI 에이전트는 정찰, 취약점 탐색, 침투, 계정 탈취 등 여러 단계를 스스로 판단해 반복하거나 동시에 진행한다. 실제 이번에 금융권도 사람이 수작업으로 대응하기 어려운 수준의 반복적·자동화된 외부 공격을 받았다. 보안업계 관계자는 “과거 여러 명이 (해킹) 역할을 나눴다면 이제 해커 한 명이 AI로 동시에 (공격을) 수행한다”고 말했다. 앤트로픽은 지난달 공개한 보고서에서 한 공격자가 AI로 수십 명의 피해자를 동시에 상대했고, 기업에서 데이터를 빼내기까지 2~3시간밖에 걸리지 않았다고 소개했다. 중국 정부 연계 조직은 지난해 금융사 등 약 30개 기관을 겨냥한 공격에서 정찰과 취약점 탐색, 계정 탈취, 데이터 분석·반출 등 전술적 작업의 80~90%를 AI에 맡겼다. 더 큰 문제는 공격과 방어 사이의 ‘시간차’다. 공격자는 침투 경로가 막혀도 AI로 다른 방법을 빠르게 찾아 재시도하지만 방어자는 패치를 만든 뒤 기존 시스템과의 충돌이나 서비스 장애 가능성을 검증해야 유포한다. 유럽은행감독청(EBA)은 지난 6월 프런티어 AI가 취약점을 찾아 악용하는 속도가 빨라지면서 기존 패치 주기를 흔들 수 있다고 경고했다. 보안 현장에서는 모든 공격을 사전 차단하기보다 탐지 및 피해 확산 중단에 무게를 싣고 있다. 이상 징후를 최대한 빨리 찾아 침해 계정이나 단말을 격리하고 내부 확산을 끊는 방식이다. 앤트로픽은 ‘프로젝트 글래스윙’을 통해 AI가 사전에 중요 소프트웨어를 공격하고 시스템의 취약점을 찾도록 해 방비하는 시험을 하고 있다. 보안업계의 한 직원은 올해 들어 AI를 활용한 해킹이 지난해보다 2배는 되는 것처럼 느낀다고 했다. 정부가 고의·중과실로 인한 개인정보 유출은 매출액의 10%까지 징벌적 과징금을 부과하면서 중소기업에서는 은폐가 증가해 신고되지 않은 사례는 더욱 많다는 것이다. 한 관계자는 “지금은 AI가 스스로 공격을 고도화하는 초기 단계”라며 “재귀적 (공격) 자동화가 빨라지면 인간이 대응할 시간을 잃는 지점이 올 수 있다”고 우려했다.

최근 금융권 연쇄 정보 유출은 해커가 특정 회사를 겨냥한 것이 아니라 ‘인공지능(AI) 에이전트’로 무차별 공격을 가하며 금융사 보안의 빈틈을 찾아낸 결과로 추정된다. 고객의 거래·신용 정보를 관리하는 핵심 금융업무 시스템보다 상대적으로 관리가 소홀했거나 자율 점검 대상인 직원용·업무 지원 시스템이 공격의 통로가 된 것이다. 4일 금융당국에 따르면 지난달 28일부터 이어진 공격으로 대출모집인용 간편 조회서비스(신한은행), 직원용 모바일 업무지원시스템(KB국민은행·부산은행), 영업지원시스템(하나은행) 등에서 고객과 외주 직원의 개인정보가 유출됐다. 현대캐피탈에서도 주택대출 모집인 조회 페이지가 공격받았다. 고객이 직접 이용하는 인터넷뱅킹이나 모바일뱅킹 대신 업무를 지원하는 서비스가 침투 경로가 됐다. 조사 결과 일부 금융사는 휴대전화 인증 등 본인 확인 없이 대출 신청 내역과 기업 대표 정보를 조회할 수 있도록 서비스를 개발한 것으로 파악됐다. 직원용 모바일 서비스를 누구나 접근할 수 있게 열어둔 경우도 있었다. 홈페이지의 취약점을 이용해 서버에 악성 코드를 설치한 사례도 확인됐다. 기본적인 인증과 접근 제한이 제대로 작동하지 않은 셈이다. 이억원 금융위원장은 이날 ‘전 금융권 긴급 점검회의’에서 “상대적으로 관리의 관심이 덜 했던 영역이 공격 대상으로 활용된 사례가 확인되고 있다”며 인증 조치 미흡과 업무에 필요한 범위를 넘는 정보 보관·조회 등을 사각지대로 지목했다. 금융감독원의 연례 전자금융기반시설 취약점 점검과 과학기술정보통신부의 주요 정보통신기반시설 점검은 인터넷뱅킹 등 고객의 거래·신용 정보 관련 시스템에 초점을 맞춘다. 이번에 공격받은 외부·업무 지원 시스템 일부는 점검 대상에서 빠져 있다. 금융당국과 은행권 관계자들은 상대적으로 중요도가 낮은 시스템의 보안 점검은 대부분 금융회사 자율에 맡겨져 있다고 설명했다. 이번 해킹 사고로 노출된 허점과 관련해서 금감원은 인증절차가 누락된 서비스를 전수 조사해 오류를 수정할 예정이다. 또 직원용 업무지원서비스에서는 사전에 등록된 단말기로만 접속할 수 있도록 통제를 강화한다. AI에이전트를 활용한 공격 수법은 빠르게 고도화되지만 금융회사의 보안 투자는 이를 따라가지 못한다는 지적도 나온다. 한국인터넷진흥원(KISA) 정보보호 공시에 따르면 지난해 KB국민·신한·하나·우리은행의 IT 투자액 중 정보보호 투자 비중은 각각 8.15%, 7.96%, 9.02%, 9.06%로 모두 10%를 밑돌았다. 우리은행의 정보보호 투자액은 444억원에서 364억원으로 1년 새 약 18% 줄었다. 신한은행도 IT 투자액은 늘렸지만 정보보호 투자액은 제자리걸음해 비중이 0.67% 포인트 낮아졌다. 디지털 서비스를 확대하는 만큼 이를 보호하는 투자도 함께 늘려야 한다는 지적이 나오는 배경이다. 금감원은 재발 방지를 위한 유의사항을 금융권에 전달하고 긴급 점검에 나섰다. 지난 7월부터 IT 기본 통제 준수 여부를 점검하고 금융사가 스스로 미비점을 고치는 ‘자율 시정’을 진행 중인 만큼, 유사 사고가 발생하면 엄중 조치할 방침이다. 경찰청 사이버테러대응수사대도 지난 2일 신한은행 등 해킹 피해가 확인된 금융사를 대상으로 입건 전 조사에 착수했다.

최근 발생한 금융권 해킹과 유사한 사고가 재발하지 않도록 정부가 긴급 대응체계를 가동한다. 과학기술정보통신부는 한국인터넷진흥원(KISA)과 함께 금융권 해킹사고와 유사한 공격의 민간 분야 확산 및 추가 피해를 방지하기 위해 사이버 위협에 대한 대응을 강화하고 있다고 4일 밝혔다. 먼저 금융권에서 발생한 해킹이 추가 피해로 번질 가능성에 대응하기 위해 KISA 인터넷침해대응센터(KISC)의 대응체계를 강화했다. 주요한 기업의 홈페이지에 대한 모니터링을 강화하고 침해사고 대응인력을 보강했으며 비상출동조를 상시 대기시킨다. 또한 보호나라와 사이버위협정보 분석·공유 체계 등을 통해 사이버 위협 정보를 각 기관과 기업에 제공해 자체적으로 보안 조치를 강화하도록 안내했다. 최고정보보호책임자(CISO) 신고기업 약 2만 8000곳을 대상으로는 보안점검 권고 메일을 발송했다. 금융보안원이 확인한 해외 공격자 인터넷주소(IP)에 대해서는 해당 클라우드 사업자에게 관련 위협 정보를 전달해 악성 행위 차단 등을 해 달라고 요청했다. 현재 금융권의 해킹사고에 대해서는 소관 기관인 금융위원회, 금융감독원, 금융보안원을 중심으로 조사와 대응이 이뤄지고 있다. 과기정통부는 금융위원회 등 관계기관과 지속적으로 정보를 공유하고 있으며 전문인력 지원을 요청하면 즉시 현장에 투입할 수 있도록 사전 준비를 마쳤다. 최근 주요 시중은행 등 다수 금융사가 인공지능(AI) 에이전트를 이용한 해킹에 당한 것이 알려지면서 불안이 확산하고 있다. 금융당국과 금융권에 따르면 신한·KB국민·하나·BNK부산은행에서 일부 개인정보가 빠져나간 데 이어 저축은행과 캐피털사, 상호금융까지 전방위로 해킹 위협에 노출됐던 정황이 드러났다. 과기정통부는 민간 정보통신서비스에 대한 사이버 위협 동향을 모니터링하고 피해 확산을 방지하는 데 집중할 계획이다.

은행·저축은행·캐피털 등 금융권 전반으로 개인정보 탈취 시도가 확산하는 가운데, 중신용자를 위한 ‘1.5금융’을 표방하는 온라인투자연계금융업(P2P·온투업)계에서도 해킹 피해가 확인됐다. 4일 금융권에 따르면 국내 1호 등록 온투업체인 피에프씨테크놀로지스(PFCT·옛 피플펀드)에서 지난달 27일 오전 3시 30분쯤 외부의 무단 접근으로 고객 302명의 정보가 유출됐다. 고객별로 유출 항목은 다르지만 이름·주민등록번호·전화번호 등이 포함된 것으로 전해졌다. 다른 금융사와 마찬가지로 인공지능(AI)을 활용한 공격으로 추정된다. 대응이 느슨해질 수 있는 추석 연휴 새벽에 발생했다. PFCT 관계자는 “대출정보는 유출되지 않은 것으로 파악하고 있다”며 “실시간 대응으로 추가 피해를 막았으며 금융감독원에 보고한 뒤 조사 중”이라고 밝혔다. 온투업체는 대형 금융사보다 규모가 작아 보안에 투입할 자금과 인력이 제한적이다. 소규모 핀테크의 보안 취약점을 노린 AI 해킹이 확산할 수 있다는 우려가 나온다. 온투업체는 투자자에게 모은 돈으로 대출을 내주고, 차주가 갚은 원리금을 투자자에게 돌려주는 방식으로 운영된다. 최근 시중은행 대출한파와 빚투(빚내서 투자) 수요 증가 등으로 누적 대출금액도 증가하는 추세다. 온투업 중앙기록관리기관에 따르면 지난 9월 말 기준 46개 업체의 누적 대출액은 22조 8440억원으로 집계됐다.

KB국민·신한은행 등의 고객 정보 유출로 이어진 연쇄 해킹과 관련해 최소 6개 은행이 중국 인공지능(AI) 침투 플랫폼을 활용한 ‘동일 주체’의 공격을 받은 것으로 추정됐다. 금융당국은 공격이 당국의 취약점 점검 대상에서 빠져 금융사 자율점검에 맡겨진 직원용·업무 지원 시스템의 보안 허점을 노린 것으로 보고 있다. 4일 금융당국에 따르면 지난달 28일부터 이달 3일까지 신한·하나·KB국민·부산·NH농협·우리은행 등 최소 6곳에서 같은 해커의 공격이 확인됐다. 신한은행에서는 약 2만 5000명, KB국민은행에서는 119명, 하나은행에서는 89명의 고객 정보가 유출됐다. 부산은행에서도 외주 개발직원 11명의 개인정보가 노출됐다. NH농협·우리은행은 공격을 막아 정보 유출로 이어지지 않았다. 당국이 동일 주체의 공격으로 보는 근거는 6개 은행에서 공통으로 발견된 중국 AI 해킹 도구의 흔적이다. 앞서 문종현 지니언스 시큐리티센터장은 지난 2일 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스(ARTEX)’의 흔적이 발견됐다고 밝혔다. AI 자율 침투는 AI가 시스템의 보안 약점을 찾고, 공격 결과에 따라 다음 침입 방법을 선택하는 방식이다. 당국은 국제 공조 등을 통해 공격 주체를 확인할 예정이다. 공격은 직원들이 영업과 업무 지원에 사용하는 시스템에 집중됐다. 이들 시스템은 인터넷뱅킹 등 핵심 금융거래 시스템과 달리 금융감독원과 과학기술정보통신부의 취약점 점검 대상에서 제외돼 금융사가 자체 점검해 왔다. 핵심 시스템에 점검이 집중된 사이 고객 정보가 담긴 주변 시스템이 유출 통로가 된 셈이다. 제2금융권에서도 예가람·웰컴저축은행과 현대캐피탈의 해킹 피해가 발생했다. 다만 은행권을 공격한 주체와 같은지는 조사 중이다. 예가람저축은행에서는 고객 4만명의 정보가 유출됐다. 현대캐피탈에서는 주택대출 모집인 조회 페이지가 공격받아 모집인 146명의 개인정보가 새어 나갔다. 증권·카드·보험사에도 공격이 시도된 것으로 나타났다. 다만 이들 업권에서 추가 피해는 아직 확인되지 않았다. IBK기업은행·한국수출입은행 등 국책은행에서도 현재까지 공격 흔적이 발견되지 않았다. 금융위원회는 지난 2일 긴급 상황 대응회의를 연 데 이어 이날 오후 2시 ‘침해위협 대응 전 금융권 긴급 점검회의’를 개최한다. 이억원 금융위원장과 이찬진 금융감독원장이 함께 참석해 금융권의 해킹 대응 상황을 점검한다. 금융당국은 자율점검에 맡겨진 시스템의 보안 관리·감독을 보완하는 제도 개선도 논의할 방침이다.

우크라이나가 오매불망 기다리던 F-16 전투기를 벨기에로부터 제공받을 것으로 알려졌다. 볼로디미르 젤렌스키 우크라이나 대통령은 29일(현지 시간) “벨기에가 연말까지 우크라이나에 F-16 3대를 인도할 것”이라면서 “러시아의 잔혹한 민간인 공격에 대응해 우크라이나를 지원하기 위한 단호한 조처를 한 벨기에 정부에 감사를 표한다”고 밝혔다. 이어 “우크라이나는 이미 벨기에와 스페인을 포함한 다른 국가들로부터 F-16 탄약을 긴급히 공급받았다”고 덧붙였다. 앞서 젤렌스키 대통령은 개전 이후 줄기차게 러시아에 맞서 실질적 군사 진전을 이루려면 공군력 강화를 위해 F-16이 꼭 필요하다고 주장해 왔다. 실제로 네덜란드와 덴마크가 우크라이나에 F-16을 제공했으나 보안상 이유로 정확한 대수는 공개되지 않았다. 벨기에 역시 F-16을 차례대로 인도하기로 약속해 첫 인도 시점은 2024년이었으나 지금까지 한 대도 제공하지 않았다. 이는 애초 F-16을 대체하기 위해 미국에서 도입하려 한 F-35 전투기 도입이 늦어지면서다. 특히 지난 5월 우크라이나 군사 전문 매체 디펜스 익스프레스는 벨기에가 2029년까지 총 53대의 F-16을 인도할 수 있다고 보도한 바 있다. 당시 보도에 따르면 벨기에는 올해 총 7대의 F-16을 우크라이나에 인도할 예정으로 이 중 4대는 부품 공급용으로 쓰인다. 이어 2027년 5대, 2028년 14대 그리고 2029년에는 가장 많은 27대가 제공된다. 다만 이 인도는 벨기에 공군에 F-35가 도입되는 시기와 맞물려 있어 실제 예정대로 이루어질지는 불투명하다. 이처럼 우크라이나가 F-16을 간절히 원하는 이유는 공격은 물론 방어에 효과적으로 사용할 수 있기 때문이다. 특히 F-16은 최근 러시아의 미사일과 드론 공격을 방어하는 데 결정적인 역할을 하고 있다. 우크라이나 방공망이 취약해진 상황에서 F-16은 AIM-9 사이드와인더와 AIM-120 암람 공대공 미사일로 러시아의 미사일과 제트 추진 드론을 요격하는 대표적인 수단이다. 다만 우크라이나가 사용하기에 이 미사일이 비싸고 턱없이 부족하다는 것이 중론이다. 서방 동맹국들은 우크라이나에 항공기용 무장의 일환으로 미사일을 제공했으며 총 인도량은 기밀에 부쳐져 있다.

- 2035 NDC 53~61%·4기 사전 할당량 17.9% 감소… AI·데이터 플랫폼 기반 연중 관리 체계 제안- 기존 규제대응 용역의 예산·과업 범위 안에서 수행 방식 전환… 감축실적(KOC)은 지역 탄소중립 재원으로 한국탄소배출권산업협회(이하 협회)는 29일 지자체의 온실가스 관리 방식을 바꿔야 한다고 제언했다. 지금은 한 해가 끝난 뒤 결과보고서를 쓰는데, 이를 AI·데이터 플랫폼으로 연중 관리하는 체계로 전환하자는 것이다. 협회는 국가온실가스종합관리시스템(NGMS)에 공개된 제4차 계획기간 할당대상업체 명단을 분석했다. 그 결과 공공부문 온실가스 목표관리제와 배출권거래제에 함께 대응해야 하는 지자체는 모두 60곳이었다. 서울·부산·인천 등 광역자치단체 10곳과 수원·용인·화성·고양·창원·청주 등 기초자치단체 50곳이다. 협회는 “결과보고서가 이듬해에야 나오는 지금 구조에서는 정작 그해에 감축 조치를 할 여지가 없다”고 지적했다. 지자체는 청사와 공공시설 전반의 감축 이행실적을 목표관리제에 따라 보고해야 한다. 여기에 소각시설, 자원회수시설, 수처리시설 같은 환경기초시설의 배출량이 일정 규모를 넘으면 배출권거래제 할당대상업체로도 지정된다. 이 경우 명세서 작성, 모니터링, 제3자 검증, 배출권 제출까지 맡아야 한다. 제도는 빠르게 강화되고 있다. 2035 국가 온실가스 감축목표(NDC)는 2018년 대비 53~61%로 정해졌다. 배출권거래제 제4차 계획기간(2026~2030년)의 사전 할당량은 제3차보다 17.9% 줄었다. 배출권이 모자랄 가능성이 커진 셈이다. 배출량이 할당량을 넘었다는 사실을 이듬해 명세서를 쓰면서야 알게 되면, 제출 기한에 쫓겨 배출권을 사느라 예상하지 못한 재정 지출이 생길 수 있다. 현행 용역은 이듬해에 전년도 실적을 산정해 결과보고서를 만드는 사후 정리 방식이다. 상당수 지자체가 매년 외부 용역으로 보고서를 만든다. 담당자는 부서·시설별 전기·가스·연료 사용 자료를 모으는 데 많은 시간을 쓴다. 게다가 보고서를 납품하면 용역이 끝나 산정 근거와 원자료가 체계적으로 남지 않는다. 담당자나 용역사가 바뀔 때마다 배출 현황을 처음부터 다시 파악해야 하는 이유다. 순환보직이 일상인 공직 사회에서 담당자 개인의 노력만으로는 풀기 어려운 문제다. 협회가 내놓은 해법은 ‘플랫폼형 규제대응 수행 방식’이다. 별도의 대형 정보화사업이 아니라 매년 발주해 온 규제대응 용역의 예산과 과업 범위 안에서 수행 도구를 데이터 플랫폼으로 바꾸는 방식이다. 협회는 지자체별 여건에 맞춰 용역 과업에 플랫폼 활용을 포함하는 등 도입 경로를 함께 검토해야 하며, 외부 클라우드 플랫폼을 쓸 경우 클라우드 보안인증(CSAP) 등 공공부문 보안 요건 충족 여부를 발주 단계에서 확인해야 한다고 덧붙였다. 플랫폼을 쓰면 청사·시설별 에너지 사용 자료를 월 단위로 모아 배출량을 자동으로 산정하고 현황판(대시보드)에 보여준다. 쌓인 데이터를 AI로 분석하면 연말 예상 배출량을 미리 가늠하고, 평소와 다른 에너지 사용 패턴도 일찍 찾아낼 수 있다. 예를 들어 상반기 실적이 목표를 웃돌면 하반기 에너지 사용 관리, 설비 운영 조정, 감축사업 조기 추진 같은 대응책을 그해 안에 마련할 수 있다. 배출권을 언제, 얼마나 확보할지도 미리 계획할 수 있다. 담당 부서와 의사결정권자가 같은 자료를 보며 방향을 정할 수 있고, 연말에 목표관리제 이행실적과 배출권거래제 명세서를 작성하기도 한결 쉬워진다. 협회는 용역이 끝날 때 데이터를 표준 형식으로 넘기도록 과업에 명시해, 사업자가 바뀌어도 이력을 이어 쓸 수 있게 해야 한다고 강조했다. 축적된 데이터는 재원 발굴로도 이어진다. 관리 경계 밖에서 이뤄져 규제 실적에 반영되지 않는 감축활동은 요건을 갖추면 온실가스 감축 외부사업으로 등록해 인증실적(KOC)을 받을 수 있다. 서울시 공공자전거 ‘따릉이’가 시 소유 자산이지만 할당대상업체의 관리 경계 밖에서 운영되는 점을 인정받아 2024년 지자체 최초로 외부사업 승인을 받은 것이 대표 사례고, 고효율 LED 가로등 교체도 외부사업으로 추진된 바 있다. 다만 규제 실적과 감축량이 이중으로 계상되지 않는지 등 등록 요건은 사업 단계에서 꼼꼼히 따져야 한다. 인증실적은 배출권(KCU)으로 전환해 거래하거나 상쇄 한도 안에서 자체 배출권 제출에 쓸 수 있고, 수익은 관내 탄소중립 사업과 시민 참여 프로그램에 다시 투입할 수 있다. 김동열 협회장은 감축 목표가 높아질수록 결과를 사후에 정리하는 방식으로는 대응에 한계가 있다고 짚으며 “매년 쌓이는 데이터가 지자체의 자산으로 남아 새로운 감축 성과와 재원으로 이어질 수 있도록 제도적 뒷받침이 필요하다”고 말했다.

- 근무환경 전환·AI 확산에 경계형 보안모델 한계…공공·금융·국방 모두 새 체계 도입- SGA솔루션즈, 시큐어OS 서버보안·데이터센터 보안에서 제로트러스트·양자내성암호로 확장 국내 정보보안 시장이 커지고 있다. 민간에서는 제재가 강화되고 보안 투자 공시가 의무화된다. 공공·금융·국방 분야는 일률적인 망분리를 벗어나 데이터 등급에 따라 접근을 통제하는 새 보안체계로 옮겨 가고 있다. 지난 11일 시행된 개정 개인정보 보호법에 따라, 고의·중과실로 3년 안에 위반을 반복하거나 1,000만 명 이상에게 피해를 입히는 등 중대한 침해행위에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있다. 반면 개인정보 보호에 미리 투자한 기업은 과징금 기준금액을 최대 40%까지 감경받을 수 있다. 2027년부터는 모든 상장사가 정보보호 투자액과 전담인력 현황을 공시해야 한다. 사고 전 투자 여부가 제재 수준과 시장 평가를 함께 좌우하게 된 셈이다. 통신·유통·미디어 등에서 대규모 유출 사고가 잇따르면서 보안 인식도 달라졌다. 최근 침해사고 상당수는 공격자가 내부망에 들어온 뒤 오랫동안 탐지되지 않는 형태다. 이제 침입을 막는 것만큼, 침입 이후 서버·계정·데이터 접근을 어떻게 통제할지가 핵심 과제가 됐다. 원격·하이브리드 근무와 클라우드 확산으로 내부와 외부를 나누던 경계형 보안모델도 한계를 드러냈다. AI 확산은 이를 더 뚜렷하게 만들었다. AI를 업무에 쓰려면 데이터에 접근해야 하지만, 망분리 환경에서는 접근 자체가 막혀 있기 때문이다. 이에 정부는 데이터를 C(기밀)·S(민감)·O(공개) 등급으로 나눠 통제 수준을 달리하는 N2SF(국가 망 보안체계)를 마련했다. 금융권은 자율보안체계로 전환하고 있고, 국방·방산 분야는 K-RMF(한국형 위험관리 프레임워크)로 대응하고 있다. 방식은 달라도 방향은 같다. 네트워크 경계를 믿는 대신, 사용자·단말·계정·서버를 하나하나 검증하고 통제하는 것이다. 이 흐름에서 서버보안의 역할이 커지고 있다. 인증된 사용자라도 서버 안에서는 허용된 자원과 명령에만 접근하도록 권한을 나누고, 주요 행위를 기록해야 한다. 서버와 워크로드를 잘게 나눠 필요한 통신만 허용하는 ‘마이크로세그멘테이션(Micro-Segmentation)’도 주목받고 있다. SGA솔루션즈는 이러한 전환에 대응할 수 있는 제품군을 확보하고 있다. 서버보안 솔루션 ‘레드캐슬(Red Castle)’을 중심으로 시큐어OS 기반의 서버 접근통제·권한관리 분야에서 공공 레퍼런스를 축적해 왔고, 최근에는 제로트러스트와 양자내성암호(PQC) 영역으로 대응 범위를 넓히고 있다. 새로운 보안체계가 요구하는 등급별 차등 통제는 결국 중요 데이터가 위치한 서버 계층에서 구현된다는 점에서, 기존 사업 기반과 정책 수요가 맞물린다는 평가다. 데이터센터 보안도 SGA솔루션즈가 대응 범위를 넓혀 온 영역이다. 클라우드 전환과 AI 인프라 확산으로 서버와 데이터가 소수의 데이터센터에 집중되면서, 한 지점의 통제 실패가 기관·기업 전체 업무로 번지는 구조가 만들어졌다. 접근 권한 관리와 계정 통제, 암호화, 이력 기록이 한 체계 안에서 맞물려야 하는 이유다. 정책 수요는 이미 계약으로 이어지고 있다. SGA솔루션즈는 최근 공공기관과 금융권을 포함한 규제 민감 산업에서 잇따라 공급 계약을 확보했다. SGA솔루션즈 관계자는 “업무 환경 변화로 드러난 기존 보안모델의 한계가 AI 확산으로 더 분명해졌고, 그 대응으로 새로운 보안체계가 잇따라 나온 것”이라며 “데이터가 모이는 서버와 데이터센터 단계에서 접근 권한과 이력이 실제로 통제되고 있는지 다시 확인해야 할 시점”이라고 말했다. 이어 “서버보안에서 축적한 통제 역량을 데이터센터 보안과 제로트러스트, 차세대 암호 영역까지 확장해 나가겠다”고 덧붙였다.

쿠도커뮤니케이션(주)이 자체 AI CITY 플랫폼 ‘CUVIA’를 기반으로 AI 에이전트와 물리보안 통합관제 기술을 결합한 국내 최초 AI 에이전트 기반 AI CITY 선도 모델 구축에 본격 나선다. 쿠도커뮤니케이션은 9월 29일 부천시청에서 진행된 ‘AI 기반 물리보안 통합관제 개발 협력 업무협약식’에 자리를 함께하며 관계 기관들과의 양해각서를 성공적으로 마무리 지었다고 전했다. 이번 협약은 과학기술정보통신부 AXsprint 과제사업인 ‘AI 기반 물리보안 통합관제 시스템 개발’의 원활한 추진과 함께, AI 에이전트 기반 실종자 찾기 시스템의 활용 및 기관 간 긴밀한 협력체계 구축을 목적으로 마련됐다. 이번 협력에는 한국인터넷진흥원과 중앙대학교, 한국과학기술원, 부천 지역 3개 경찰서(원미·소사·오정), 부천도시공사를 비롯해 쿠도커뮤니케이션㈜이 뜻을 모았다. 쿠도커뮤니케이션㈜은 본 협약을 바탕으로 독자적인 AI 영상분석·물리보안 역량에 AI Agent 기술을 더하여, AI 중심의 차세대 지능형 통합관제 체계를 구축해 나갈 방침이다. 특히 ‘CUVIA’는 AI Agent 기반의 AI CITY 통합 플랫폼으로, 도시와 산업 현장에서 발생하는 다양한 데이터를 기반으로 도메인 지식에 특화된 AI Agent 서비스를 제공하는 것을 목표로 한다. CUVIA는 축적해 온 영상보안 및 AI 기술을 기반으로 융합보안, 물리보안, 재난안전, BIM, 국방, 항공·공항, 도로 등 다양한 분야로 확장할 수 있도록 추진되고 있다. 이번 협약을 통해 추진되는 AI 기반 물리보안 통합관제 시스템은 CUVIA가 지향하는 AI CITY의 핵심 적용 모델 중 하나로 자리매김할 전망이다. 기존 CCTV 관제가 사람이 다수의 영상을 지속적으로 모니터링하고 특정 이벤트를 확인하는 방식이었다면, AI 에이전트 기반 통합관제는 사용자의 ‘요구’와 관제 ‘목적’을 ‘이해’하고 필요한 영상 및 데이터를 탐색·분석해 ‘상황 파악’과 ‘대응’을 지원하는 방식으로 발전하게 된다. 특히 실종자 찾기와 같은 실제 도시 안전 업무에서는 AI 에이전트가 실종자의 인상착의와 특징, 발생 시간 및 장소 등의 정보를 기반으로 관련 CCTV 영상과 객체 정보를 탐색하고, 이동 경로 및 주변 상황을 분석해 관제요원의 신속한 판단을 지원할 수 있다. 쿠도커뮤니케이션㈜은 이번 협약을 계기로 ‘탐지하는 CCTV’에서 ‘상황을 이해하고 대응을 지원하는 AI CITY’로의 전환을 추진한다는 계획이다. 또한 물리보안 분야에서 축적되는 AI 기술과 현장 데이터를 CUVIA 플랫폼과 연계하고, 향후 재난안전, 도시 인프라, 국방, 공항·항공, 도로 등 다양한 분야로 AI Agent 적용 범위를 확대해 도시와 산업 현장의 복합적인 문제를 AI가 이해하고 지원하는 AI CITY 플랫폼으로 고도화할 방침이다. 쿠도커뮤니케이션㈜ 이준실 시큐리티사업부장은 “이번 협약은 AI 기술을 단순한 CCTV 영상분석을 넘어 실제 도시의 안전 문제를 해결하는 지능형 AI Agent로 발전시키는 중요한 출발점”이라며 “자체 AI CITY 플랫폼인 CUVIA를 중심으로 AI Agent와 물리보안 기술을 결합해 국내 최초의 AI Agent 기반 AI CITY 선도 모델을 구축하고, 실제 도시 현장에서 활용 가능한 AI CITY의 새로운 기준을 제시해 나가겠다”고 말했다. 이어 “특히 이번 사업을 통해 AI가 영상 속 객체를 단순히 인식하는 것을 넘어 도시에서 발생하는 상황과 맥락을 이해하고, 관제요원의 판단과 대응을 지원하는 수준으로 기술을 고도화할 것”이라고 덧붙였다. 한편, 부천시청 5층 만남실에서 9월 29일 열린 ‘AI 기반 물리보안 통합관제 개발 협력 업무협약식’을 시작으로, 협약 참여 기관들은 AI 기반 물리보안 통합관제 시스템 구축 및 AI 에이전트를 활용한 실종자 수색 시스템 적용을 위해 긴밀한 협력을 이어갈 방침이다.

오픈AI 에이전트, 호주 기관 접근차단 명령 거부하며 다른 길 찾아챗GPT회원 이미지 53장도 유출‘소버린 AI’ 역량 확보 목소리 커져빌 게이츠 “전례 없는 강력한 무기” 오픈AI의 인공지능(AI) 에이전트가 호주 보건 당국 웹사이트 침투를 시도한 것으로 알려진 가운데 지난 여름에는 미국 정부 웹사이트에도 접근한 것으로 나타났다. 호주 보건 당국 침투의 경우 AI 모델이 정부 기관을 대상으로 공격을 시도한 첫 사례로, AI 보안 위협이 기업을 넘어 국가 안보 문제로 확대되는 모습이다. 이에 핵심 AI 기술과 데이터를 국가가 직접 통제하는 ‘소버린 AI’ 역량 확보가 시급하다는 목소리가 커지고 있다. 호주 정부는 지난 23일(현지시간) 오픈AI가 개발한 AI 에이전트가 지난 6월 호주 정부의 메디케어 통계 보고 서비스 포털에 무단으로 접근했다고 공개했다. 앤서니 앨버니지 호주 총리는 유엔 총회가 열린 뉴욕에서 기자회견을 열고 “오픈AI의 샘 올트먼 최고경영자(CEO)와 통화해 이번 사건에 대한 정부의 강한 우려를 전달했다”며 “관련 법 집행과 대응 입법 조치를 검토하고 있다”고 밝혔다. 이어 “AI 에이전트가 반복적으로 차단에 부딪히자 우회할 방법을 찾아냈다. 말하자면 ‘안 된다’는 답을 받아들이지 않은 것”이라고 지적했다. 오픈AI는 해당 사건을 사건 발생 두 달 뒤인 8월에야 인지했고, 지난 10일에야 호주 당국에 통보하면서 논란을 자초했다. AI 에이전트가 호주보건복지연구소(AIHW) 등 여러 호주 정부 기관 웹사이트에 접근해 데이터를 수집하려 한 사실도 추가로 드러났다. 미국에서도 오픈AI 에이전트가 정부 기관 웹사이트에 비정상적으로 접근한 사실이 공개됐다. 오픈AI는 25일 자사 AI 모델이 미국 증권거래위원회(SEC)가 운영하는 웹사이트 2곳과 인구조사국 데이터에 접근한 사실을 자체 검토 과정에서 발견했다고 밝혔다. 다만 오픈AI는 에이전트의 SEC 인증 정보 사용, 비공개 정보 접근, 데이터·시스템 변경, 보안 침해, 취약점 악용의 증거는 찾지 못했다고 설명했다. AI 에이전트가 챗GPT 이용자의 이미지 53장을 외부 사이트에 게시한 사건도 추가로 드러났다. 오픈AI는 별도 지시 없이 제3자 사이트에 게시물을 올린 행위를 새 유형의 보안 사고로 규정하고 ‘에이전트 스팸’으로 명명했다. 업계는 이런 일탈 사례의 확산을 우려하고 있다. 미국 인터넷 매체 악시오스는 26일 오픈AI와 앤트로픽, 보안 연구진이 최근 수개월간 AI 모델이 보안 통제를 벗어나거나 의도하지 않은 행동을 한 수만 건의 보안 사고 사례를 조사하고 있다고 보도했다. 빌 게이츠(사진) MS 공동 창업자는 NBC와 인터뷰에서 “AI는 10억명의 사망을 초래하는 사건을 촉발할 만큼 분명히 강력하다”며 “악의를 품은 사람들이 최신 AI 도구를 결합해 사용하는 것만큼 강력한 무기는 지금까지 없었다”고 경고했다. AI 에이전트의 위협이 국가 안보 영역으로까지 확대되자 각국의 AI 주권 확보가 차기 과제로 부상하는 모습이다. 자체 AI 모델과 데이터, 컴퓨팅 인프라를 확보하는 ‘소버린 AI’ 개발로 외부 기술 의존도를 낮출 필요가 있다는 지적이 나온다.

인공지능(AI) 개발에 제동을 걸어야 한다는 주장이 이달 실리콘밸리를 넘어 국제사회의 쟁점으로 커졌다. 최첨단 모델을 만드는 기업들이 통제의 한계를 인정했고, 유엔도 안전장치가 기술 발전을 따라가지 못한다고 경고했다. 논의 자체는 새롭지 않다. 2023년 3월 GPT-4보다 강력한 AI 시스템의 훈련을 최소 6개월간 중단하자는 공개서한이 나왔다. 두 달 뒤 주요 AI 기업 수장들은 AI로 인한 인류 멸종 위험을 핵전쟁이나 감염병처럼 다루자는 성명에 이름을 올렸다. 이후 주요 기업들은 감당하기 어려운 위험이 확인되면 모델 개발이나 출시를 중단하겠다는 약속도 내놨다. 기술의 속도는 빨라졌다. 영국 AI보안연구소는 제한된 사이버 평가에서 최첨단 모델이 80% 확률로 자율 수행할 수 있는 작업 시간이 2024년 말 이후 4.7개월마다 두 배로 늘었다고 추산했다. 스탠퍼드대의 지난해 조사에서 주요 AI 기업의 평균 투명성 점수는 100점 만점에 40점에 그쳤다. 평가 기준이 개편된 점을 감안해도 훈련 데이터와 위험 대응 등 핵심 정보는 충분히 공개되지 않았다. 최근 드러난 AI 에이전트의 이상 행동은 이 간극이 현실의 문제임을 보여 준다. 오픈AI의 에이전트는 정부 웹사이트의 접근 제한을 우회해 공개 데이터를 수집했고 챗GPT 이용자의 이미지 53장을 외부에 게시했다. 호주 정부에는 사건 발생 약 석 달 뒤에야 통보했다. 부족했던 것은 더 강한 경고가 아니라 이를 확인할 장치였다. 주요 기업이 내놓은 안전 약속은 대부분 자율 이행에 맡겨졌다. 기업마다 평가 기준과 공개 범위가 달랐고 독립기관이 모델 내부를 살펴볼 권한도 제한됐다. 약속을 지켰는지 확인하고 책임을 물을 공통의 절차가 없었다. 최근에는 이 빈틈을 메우려는 움직임이 나타나고 있다. 앤트로픽과 액센추어는 독립적인 모델 평가에 각각 최소 10억 달러씩, 5년간 총 20억 달러 이상을 투입한다. 외부 평가자에게 직원과 비슷한 수준의 접근권을 주는 방식이다. 오픈AI도 우려스러운 모델 행동을 정기적으로 공개하기로 했다. 선언에 머물던 논의가 검증과 공개의 절차로 옮겨 가는 변화다. 다만 평가자를 고르고 접근 범위와 공개 수준을 정하는 주체가 여전히 기업이라는 한계는 남는다. 한국 역시 검증 체계를 구축할 기반은 갖췄다. 올해 AI 기본법이 시행됐고 AI안전연구소도 운영되고 있다. 연구소는 지난 6월 오픈AI와 업무협약을 맺고 고위험 분야의 평가 방법론을 공유하는 한편 한국어와 국내 사회 맥락을 반영한 평가체계를 마련하기로 했다. 이제 남은 일은 이 틀을 작동시키는 것이다. 외부기관에 어느 범위까지 모델을 공개할지, 무엇을 사고로 규정해 언제 알릴지, 안전 약속을 어기면 어떤 책임을 물을지를 정해야 한다. 이를 뒷받침할 기술과 전문인력도 필요하다. 이번 속도조절론이 과거와 달라질지는 경고의 강도보다 실행에 달렸다. AI 개발이 계속되더라도 위험을 가려내고 통제할 체계는 갖춰야 한다. 민나리 산업부 기자

오픈AI의 인공지능(AI) 에이전트가 호주 보건 당국 웹사이트 침투를 시도한 것으로 알려진 가운데 지난 여름에는 미국 정부 웹사이트에도 접근한 것으로 나타났다. 호주 보건 당국 침투의 경우 AI 모델이 정부 기관을 대상으로 공격을 시도한 첫 사례로, AI 보안 위협이 기업을 넘어 국가 안보 문제로 확대되는 모습이다. 이에 핵심 AI 기술과 데이터를 국가가 직접 통제하는 ‘소버린 AI’ 역량 확보가 시급하다는 목소리가 커지고 있다. 호주 정부는 지난 23일(현지시간) 오픈AI가 개발한 AI 에이전트가 지난 6월 호주 정부의 메디케어 통계 보고 서비스 포털에 무단으로 접근했다고 공개했다. 앤서니 앨버니지 호주 총리는 유엔 총회가 열린 뉴욕에서 기자회견을 열고 “오픈AI의 샘 올트먼 최고경영자(CEO)와 통화해 이번 사건에 대한 정부의 강한 우려를 전달했다”며 “관련 법 집행과 대응 입법 조치를 검토하고 있다”고 밝혔다. 이어 “AI 에이전트가 반복적으로 차단에 부딪히자 우회할 방법을 찾아냈다. 말하자면 ‘안 된다’는 답을 받아들이지 않은 것”이라고 지적했다. 오픈AI는 해당 사건을 사건 발생 두 달 뒤인 8월에야 인지했고, 지난 10일에야 호주 당국에 통보하면서 논란을 자초했다. AI 에이전트가 호주보건복지연구소(AIHW) 등 여러 호주 정부 기관 웹사이트에 접근해 데이터를 수집하려 한 사실도 추가로 드러났다. 미국에서도 오픈AI 에이전트가 정부 기관 웹사이트에 비정상적으로 접근한 사실이 공개됐다. 오픈AI는 25일 자사 AI 모델이 미국 증권거래위원회(SEC)가 운영하는 웹사이트 2곳과 인구조사국 데이터에 접근한 사실을 자체 검토 과정에서 발견했다고 밝혔다. 다만 오픈AI는 에이전트의 SEC 인증 정보 사용, 비공개 정보 접근, 데이터·시스템 변경, 보안 침해, 취약점 악용의 증거는 찾지 못했다고 설명했다. AI 에이전트가 챗GPT 이용자의 이미지 53장을 외부 사이트에 게시한 사건도 추가로 드러났다. 오픈AI는 별도 지시 없이 제3자 사이트에 게시물을 올린 행위를 새 유형의 보안 사고로 규정하고 ‘에이전트 스팸’으로 명명했다. 업계는 이런 일탈 사례의 확산을 우려하고 있다. 미국 인터넷 매체 악시오스는 26일 오픈AI와 앤트로픽, 보안 연구진이 최근 수개월간 AI 모델이 보안 통제를 벗어나거나 의도하지 않은 행동을 한 수만 건의 보안 사고 사례를 조사하고 있다고 보도했다. 빌 게이츠 MS 공동 창업자는 NBC와 인터뷰에서 “AI는 10억명의 사망을 초래하는 사건을 촉발할 만큼 분명히 강력하다”며 “악의를 품은 사람들이 최신 AI 도구를 결합해 사용하는 것만큼 강력한 무기는 지금까지 없었다”고 경고했다. AI 에이전트의 위협이 국가 안보 영역으로까지 확대되자 각국의 AI 주권 확보가 차기 과제로 부상하는 모습이다. 자체 AI 모델과 데이터, 컴퓨팅 인프라를 확보하는 ‘소버린 AI’ 개발로 외부 기술 의존도를 낮출 필요가 있다는 지적이 나온다.

미국과 중국의 인공지능(AI) 패권 경쟁이 갈수록 치열해지는 가운데 24일(현지시간) 열리는 도널드 트럼프 미국 대통령과 시진핑 중국 국가주석의 정상회담에서 양국의 AI 안전 협력이 어디까지 구체화될지 관심이 쏠린다. 앞서 미국 측은국가안보를 위협하는 AI 사고에 대응하고자 중국에 직통 연락망(핫라인)을 제안한 상태라 이번 정상회담에서 이를 공식화할 수 있을지 주목된다. 24일 외신 등에 따르면 시 주석은 23일(현지시간) 워싱턴DC 인근 메릴랜드주 앤드루스 합동기지에 도착했고, 이튿날 트럼프 대통령과 정상회담을 갖는다. 이번 회담의 핵심 의제로 AI 문제가 올라갈 예정으로 이미 고위급 차원에서 AI 대화와 사고 통보 체계 구축 방안이 논의된 만큼, 정상회담에서 이를 공식화하거나 후속 실무협의로 이어갈지가 관건이다. 정상회담을 앞두고 스콧 베센트 미국 재무장관과 허리펑 중국 국무원 부총리는 지난 20일(현지시간) 뉴욕에서 약 8시간 동안 회담을 갖고 무역 현안과 함께 AI 문제를 논의했다. 베센트 장관은 회담 뒤 기자들에게 “중국 측과 매우 성공적인 협의를 했다”고 평가하며 이번 회담에서 양국 간 새로운 ‘미중 AI 대화’를 만드는 방안이 논의됐다고 밝혔다. 특히 미국 측은 국가안보에 영향을 미치는 AI 관련 사건이 발생할 경우 양국이 서로 알리는 ‘통보 체계’를 제안했다. AI 사고가 국가안보 위협으로 번질 경우 양국이 신속하게 직접 소통할 수 있는 일종의 ‘AI 핫라인’ 성격을 갖는다. AI는 미중 경쟁의 대상이지만, 양국 모두 통제하지 못할 경우 직접적인 안보 위협이 될 수 있기 때문에 최소한의 소통 채널이 필요하다고 본 것으로 풀이된다. 반면 중국이 미국의 제안에 어떤 입장을 밝혔는지는 알려지지 않았다. 허 부총리와 리 대표는 당시 회담 뒤 언론 브리핑을 하지 않았다. 다만 중국 관영 신화통신은 양측이 경제·무역 문제를 놓고 ‘솔직하고 깊이 있으며 건설적인 교류’를 했다며 AI 관련 문제에 대해서도 대화를 진행했다고 보도했다. 고위급 논의는 지난 5월 미·중 정상회담에서 AI 개발과 관련한 양국 협의 가능성이 처음 거론된 이후 구체적인 후속 논의가 이뤄졌다는 점에서도 주목받았다. 다만 AI 안전 분야에서의 대화가 양국 간 첨단기술 경쟁의 완화로 이어질 가능성은 크지 않다. 이번 협상에서도 첨단 AI 반도체와 반도체 제조장비에 대한 미국의 대중국 수출통제 문제는 논의 대상에서 제외됐다. 오픈AI·엔비디아 CEO 등 주요 빅테크 수장, 만석 참석도 관전 포인트이런 가운데 미국 주요 빅테크 수장들이 시 주석을 위한 백악관 국빈만찬에 대거 참석할 예정이라는 점도 관심사다. 샘 올트먼 오픈AI 최고경영자(CEO), 젠슨 황 엔비디아 CEO, 팀 쿡 애플 CEO, 순다르 피차이 구글 CEO, 제프 베이조스 아마존 창업자, 일론 머스크 테슬라 CEO 등이 참석할 예정이다. 사티아 나델라 마이크로소프트 CEO와 크리스티아누 아몬 퀄컴 CEO도 참석하는 것으로 알려졌다. 미국 AI 산업의 핵심 기업들이 한자리에 모이는 만큼 이번 만찬은 미·중 정상 간 외교뿐 아니라 AI 산업을 둘러싼 양국의 이해관계가 교차하는 자리이기도 하다. 특히 AI 산업의 경쟁력이 반도체와 데이터센터, 클라우드 등 공급망 전반의 경쟁력과 연결된다는 점에서 빅테크들의 움직임 역시 정상회담의 주요 관전 포인트가 될 전망이다. 정부 간 AI 안전 논의와 별개로 빅테크 차원의 AI 안전·위험 관리 논의가 정상회담을 전후해 부각될지도 관심사다. 한국 반도체 산업에도 이번 회담 결과가 변수로 작용할 수 있다. AI 안전을 둘러싼 미·중 간 협력이 국가안보 차원의 사고 대응을 넘어 AI 인프라와 공급망 관리로 확대될 경우 국내 반도체 기업에도 새로운 보안·관리 기준이 요구될 수 있기 때문이다. 업계 관계자는 “미중 AI 안전 협력이 확대될수록 공급망에 대한 관리, 통제가 강화될 가능성이 있다”고 말했다. 다만 현재 논의는 AI 사고 발생 시 양국 간 소통과 정보 공유에 초점이 맞춰져 있어 국내 반도체 업계에 미칠 직접적인 영향은 제한적이라는 분석도 나온다.

젠슨 황 엔비디아 최고경영자(CEO)가 인공지능(AI)으로 인해 2030년쯤 인류가 멸망할 수 있다는 일각의 경고를 정면으로 반박했다. 황 CEO는 근거 없는 공포를 퍼뜨리는 것은 무책임한 태도라고 강조했다. 황 CEO는 20일(현지시간) 미국 CBS뉴스와의 인터뷰에서 “2030년에 세상이 끝나는 일은 없으며, 그럴 가능성은 0%”라고 단언했다. 이어 ”사람들에게 불필요한 공포를 심어주는 것은 무책임한 행동“이라며 AI에 의한 인류 멸망설을 ‘과학적 근거가 없는 종말론적 서사’라고 일축했다. 이번 발언은 AI의 발전 속도를 둘러싸고 실리콘밸리에서 뜨거운 논쟁이 이어지는 가운데 나왔다. 논쟁의 불씨는 앤스로픽 출신 연구원 제이컵 콕슨의 발언에서 시작됐다. 콕슨은 최근 엑스(X)를 통해 “오픈AI와 앤스로픽에서 3년간 사전 학습 연구를 맡았으나, 두 기업 모두 책임감 있게 행동하지 않고 있다”고 비판했다. 그는 “이들이 자율적으로 진화하는 초지능을 향해 맹목적으로 질주하며 인류의 목숨을 담보로 도박을 벌이고 있다”며 선도적 AI 개발자들 역시 이 기술이 10년 안에 인류를 멸망시킬 수 있다고 믿는 상황이라고 주장했다. 해당 게시물은 80만개 이상의 ‘좋아요’를 받으며 파장을 일으켰다. 엔비디아는 오픈AI와 앤스로픽을 포함한 주요 AI 기업에 모델 훈련용 반도체를 공급하고 있어 이번 논쟁과 이해관계가 깊게 맞물려 있다. 이와 관련해 황 CEO는 사업적 이해관계를 넘어 AI를 안전하고 책임 있게 출시해야 할 명확한 이유가 있다고 밝혔다. 그는 “기업의 성공은 제품과 서비스를 안전하게 시장에 선보이는 데 달렸으며 이를 어길 경우 기업 가치는 하락할 수밖에 없다”고 지적했다. 아울러 황 CEO는 AI 규제를 신설할 필요가 없다는 도널드 트럼프 미국 대통령의 견해에 공감을 표했다. 제조물 책임 등 기존의 법적 테두리로도 충분히 대응할 수 있다는 취지다. 그는 “이미 사이버 보안 및 손해 배상과 관련한 다양한 책임법이 존재한다”며 “종말론적 서사를 핑계 삼아 기업이 기존 법적 책임에서 벗어나게 해서는 안 되며, 현행법부터 엄격히 적용해야 한다”고 강조했다.

어린 시절 낯선 남성에게 부적절한 신체 접촉을 당한 뒤 자신을 지키기 위해 유도를 배우기 시작한 인도 여성이 20여 년 뒤 아시안게임에서 새 역사를 썼다. 유도와 쿠라시, 주짓수를 거쳐 종합격투기(MMA)에 도전한 수치카 타리얄(36)이 인도 최초의 아시안게임 MMA 메달을 확보했다. 20일(현지시간) 인도 매체와 대회 조직위원회 등에 따르면 타리얄은 일본 아이치·나고야 아시안게임 여자 트래디셔널 MMA 60㎏급 8강에서 몽골의 알탄치메그 바이갈마를 2-0으로 꺾고 준결승에 올랐다. 준결승 진출자에게 최소 동메달을 주기 때문에 타리얄은 이미 시상대 자리를 확보했다. MMA는 이번 대회에서 아시안게임 정식 종목으로 처음 채택됐다. 타리얄은 종목이 첫선을 보인 대회에서 인도의 첫 MMA 메달리스트가 됐다. 그가 격투 스포츠를 시작하게 된 계기는 어린 시절 겪은 일이었다. 타리얄은 앞서 인디언익스프레스와 인터뷰에서 뉴델리의 한 미용실에서 직원에게 부적절한 신체 접촉을 당했지만 당시 아무 대응도 하지 못했다고 회상했다. 이후 “자신을 방어할 수 있는 기술이 필요하다”고 생각했다고 말했다. 당시 정확한 나이는 현지 보도마다 엇갈린다. 인디언익스프레스의 직접 인터뷰 기사에는 10세로, PTI와 인도스포츠청(SAI) 자료를 바탕으로 한 후속 보도에는 12세로 전해졌다. 혼자 턱걸이·물통 나르기…유도 8차례 인도 챔피언으로 타리얄은 곧바로 도장에 들어간 것도 아니었다. 집 근처 빈 건물에서 혼자 턱걸이와 팔굽혀펴기를 했고, 체력을 키우려고 물이 든 양동이를 들고 4층 집까지 오르내렸다. 몇 달 뒤 뉴델리 자와할랄 네루 스타디움에서 유도를 배우기 시작했다. 그 선택은 선수 생활로 이어졌다. 타리얄은 인도 유도선수권에서 8차례 정상에 올랐고 2019년 영연방 유도선수권과 남아시아경기대회에서 금메달을 따냈다. 2022년 버밍엄 영연방경기대회에도 인도 대표로 출전했다. 한 종목에 머물지도 않았다. 2023년 항저우 아시안게임에서는 쿠라시에 출전했고, 2024년 국제주짓수연맹(JJIF) 세계선수권에서는 여자 콘택트 63㎏급 정상에 올랐다. 직장 생활도 병행했다. 중앙산업보안군(CISF) 경장으로 근무한 그는 이후 하리아나주 체육부의 주니어 코치로 자리를 옮겼다. 7년 쉬었던 MMA로 다시…“이 메달은 내 삶보다 소중” MMA와의 인연도 짧지 않다. 타리얄은 2017년 MMA 데뷔전에서 승리했지만 이후 유도와 주짓수에 집중하면서 약 7년간 MMA 경기에 나서지 않았다. 2024년 프로 무대로 돌아와 바레인의 BRAVE CF 92에서 복귀전을 치렀고 승리를 거뒀다. 올해 1월과 5월 열린 아시아 MMA 선수권에서도 잇따라 동메달을 차지했다. 이번 아시안게임을 앞두고는 인도 체육부의 ‘타깃 아시안게임 그룹’ 지원 대상에도 포함됐다. 뭄바이에서 6주간 훈련하며 MMA에 맞춰 기량을 다듬었다. 타리얄은 8강전 뒤 인도스포츠청이 공개한 영상에서 가족과 지도자들이 자신을 위해 오랫동안 희생했다며 “이 메달은 내 삶보다 소중하다”고 말했다. 도전은 아직 끝나지 않았다. 타리얄은 21일 싱가포르의 티파니 테오와 준결승에서 맞붙는다. 테오 역시 8강에서 이란 선수를 꺾고 싱가포르 최초의 아시안게임 MMA 메달을 확보했다. 승자는 22일 열리는 결승에 올라 초대 아시안게임 MMA 금메달에 도전한다.