정부가 처음으로 고성능 인공지능(AI)을 활용해 민간 주요정보통신기반시설의 보안을 점검한 결과 16개사에서 304건의 취약점이 무더기로 발견됐다.

국가·사회적으로 중요한 정보시스템을 대상으로 고성능 AI를 활용해 취약점을 찾아낸 첫 정부 점검 결과다. 정부는 발견된 취약점을 해당 기업에 통보해 보완하도록 하고 나머지 4개사도 추가 점검하기로 했다.

6일 박정하 국민의힘 의원실에 따르면 과학기술정보통신부와 한국인터넷진흥원(KISA)은 지난 6월 29일부터 9월 25일까지 민간 주요정보통신기반시설 16개사를 대상으로 AI를 활용한 취약점 점검을 실시해 총 304건을 찾아냈다.

이번 점검에는 오픈AI의 보안 특화 모델인 'GPT-5.5 사이버'가 활용됐다.

과기정통부는 AI 기반 사이버 공격과 보안 사고를 사전에 예방하기 위해 민간 주요정보통신기반시설을 대상으로 고성능 AI 기반 취약점 점검 희망 여부를 조사했다. 총 20개사가 점검에 동의했다.

주요정보통신기반시설은 안보·행정·금융·통신·에너지 등 국가·사회적으로 중요한 분야의 정보통신망이나 정보시스템 가운데 침해사고 발생 시 국가 안보와 경제·사회에 미치는 영향 등을 고려해 지정·관리하는 시설이다.

당초 정부는 '미토스 쇼크'를 촉발한 앤트로픽의 프런티어(최상위급) AI 모델 '미토스'를 활용한 취약점 점검도 추진했다. 그러나 '미토스 수출 통제' 사태 이후 접근권이 제한되면서 오픈AI의 정부·기관용 신뢰 기반 접근 프로그램(GTAC)을 통해 확보한 GPT-5.5 사이버 모델로 점검을 진행했다.

현재까지 점검을 마친 16개사에서 발견된 취약점은 총 304건이다. 정부는 해당 기업에 취약점을 개별 통보해 필요한 보완 조치를 하도록 했다.

점검에 동의한 20개사 가운데 아직 점검하지 않은 나머지 4개사도 순차적으로 살펴볼 예정이다.

최근 금융권 침해사고에서는 AI 기반 침투 테스트 도구의 흔적이 발견되면서 AI를 활용한 해킹 가능성이 제기됐다. 다만 해당 금융권 사고에서 AI가 실제 공격에 활용됐는지는 아직 확인되지 않았다.

정부는 이번 점검에서 발견된 취약점에 대한 후속 조치를 확인하는 한편 고성능 AI를 활용한 취약점 점검을 주기적으로 실시할지도 검토한다.

다만 고성능 보안 AI 모델을 지속적으로 사용하는 데 필요한 비용과 점검 대상 기업의 수용성 등이 변수다.

과기정통부는 "향후 주기적인 취약점 점검 실시는 고성능 보안 AI 모델 도입·운용에 수반되는 소요 예산 확보 및 현장 기업의 수용성 등을 검토하여 결정할 예정"이라고 밝혔다.

박정하 의원은 "소프트웨어 취약점 탐지에 강점을 가진 미토스를 활용하지 않았는데도 이번 AI 기반 점검에서 304개의 취약점이 발견됐다는 점을 가볍게 볼 수 없다"며 "금융권을 겨냥한 AI 해킹 위협이 현실화하는 상황에서 방어에도 AI를 적극 활용해 취약점을 선제적으로 찾아내고, 발견된 취약점이 실제 보완 조치까지 이어지도록 후속 관리와 점검 대상을 확대해야 한다"고 말했다.

Ktiger@news1.kr