인공지능(AI)이 인터넷 소프트웨어에 10년 넘게 숨어 있던 보안 취약점까지 찾아내면서 기업들의 보안 대응 부담이 커지고 있다. AI가 취약점 발견뿐 아니라 공격 준비에도 활용될 수 있는 가운데, 보안 인력과 예산이 부족한 중소기업은 대응 역량의 격차가 더욱 벌어질 수 있다는 우려가 나온다.

27일 정보보안 업계에 따르면 최근 웹사이트 구축에 쓰이는 프로그래밍 언어 'PHP'에서 보안 취약점이 잇따라 발견되면서 각국이 대응에 나섰다.

지난 21일(현지시간) PHP 개발진은 로그인 등 인증 절차 없이 외부에서 서버에 명령을 실행할 수 있는 취약점 두 건(PHP2Shell)을 발견했다며 패치가 적용된 수정 버전으로 즉시 업데이트할 것을 권고했다.

PHP2Shell은 AI 도구를 활용한 보안 연구 과정에서 발견됐다. 보안업체 캘리프 소속 연구원은 지난 8월 오픈AI의 AI 모델 GPT-5.6 솔(Sol)의 도움을 받아 PHP 소스코드를 검증하는 과정에서 해당 취약점을 찾아냈다.

구글 산하 보안기업 위즈도 자율형 AI 취약점 연구 도구인 위즈 아틀라스(Wiz Atlas)와 구글 제미나이 4 아르곤, GPT-5.6 솔을 활용해 같은 취약점을 발견했다.

위즈는 해당 취약점이 PHP 코드에 10년 넘게 숨어 있었다며 사람이 이를 악용하려면 매우 복잡한 작업을 수행해야 했을 것이라고 설명했다. AI가 그간 발견하지 못했던 취약점을 찾아내는 데 활용될 뿐 아니라 이를 악용하는 방법을 분석하는 데도 쓰일 수 있다는 것이다.

"매주 세상이 무너지는 것처럼 느껴질 것"…보안 대응 시간 줄어
더구나 AI가 보안 취약점 탐색에 활용되면서 앞으로 더 많은 취약점이 발견될 것이라는 전망이 나온다.

위협 인텔리전스 기업 벌른체크는 취약점 발급 건수가 AI의 영향으로 전년 대비 두 배 증가했다고 밝혔다.

디지털 인프라 기업 클라우드플레어의 매튜 프린스 최고경영자(CEO)는 로이터통신과의 인터뷰에서 "앞으로 2년 정도는 매주 세상이 무너지는 것처럼 느껴질 것"이라며 AI가 인터넷 기반 소프트웨어에 오랫동안 숨어 있던 취약점을 찾아내면서 보안 대응이 바빠질 것으로 전망했다.

과거에는 보안 취약점을 발견하고 이를 악용하는 코드를 작성하려면 상당한 전문지식과 시간이 필요했다. 취약점에 따라 공격 코드 개발에 수주에서 수개월이 걸리기도 했다.

이러한 시간적 간격은 보안 담당자들이 취약점을 수정하고 소프트웨어 업데이트를 배포하는 데 활용할 수 있었다.

그러나 AI가 취약점 발견뿐 아니라 공격 코드 작성에도 활용될 수 있게 되면서 보안 담당자들이 대응할 수 있는 시간이 줄어들 수 있다는 우려가 나온다.

다만 AI를 활용한 취약점 발견 사례가 곧바로 실제 공격 속도 단축을 입증하는 것은 아니다. 공격에 필요한 시간은 취약점의 특성과 공격 환경 등에 따라 달라질 수 있다.


중기, 보안 대응 여력 없는데…'더 큰 공격' 통로 될라
신속한 보안 대응이 요구되는 상황은 보안 인력과 예산이 부족한 중소기업에 더 큰 부담으로 작용한다.

실제 영세업체들은 이번 PHP 취약점 사태에서도 대응에 어려움을 겪고 있다. 뉴스1 취재에 따르면소규모 온라인 쇼핑몰 운영자들은 별도 보안 인력이 없어 자사 홈페이지가 취약점의 영향을 받는지 판단하기 어렵고, 호스팅업체의 안내와 조치에 의존하고 있다고 호소했다. 지역 특산물을 판매하는 쇼핑몰 관계자는 보안 사고가 발생해도 이를 즉시 인지하거나 피해 범위를 파악하기 어렵고, 복구 과정에서도 전문인력과 비용이 부족하다고 설명했다. 일부 영세업체는 정부의 긴급 경보 이후에도 취약점 발견 소식 자체를 알지 못한 것으로 나타났다.

무엇보다 중소기업의 보안 취약성은 개별 기업의 피해로 끝나지 않는다. 중소기업이 대기업의 협력사이거나 다수 기업에 소프트웨어나 IT 서비스를 공급하는 경우, 해당 기업의 침해 사고가 거래 기업과 고객사로 확대될 위험이 크다.

특히 AI로 취약점 발견과 공격 준비가 빨라지는 환경에서는 개별 기업의 대응을 넘어 공급망 전반의 보안 수준을 높여 연쇄 피해를 방지하는 것이 중요하다는 지적이다.

중소기업의 '보안 구멍' 문제는 꾸준히 지적됐다. 과학기술정보통신부와 정보보호산업협회의 '2025 정보보호 실태조사'에 따르면, 기업 규모가 작아질수록 정보보호를 전담으로 하는 조직을 보유율이 적어지는 것으로 드러났다.

조사에 따르면, 인력 10~49명 규모의 기업 중 정보보호 전담 조직을 가진 기업은 비슷한 규모의 기업 중 1.6%뿐이었다. 50~249명은 5.9%, 250명 이상에서는 37.1%였다.

최근 AI 기반 보안 솔루션이 'AI 공격'에 대응할 유일한 대안으로 제시되고 있는 상황은 중소기업의 보안 위기감을 더 키우고 있다.

임종인 고려대 정보보호대학원 명예교수는 "이제는 취약점 발견 후 악성코드를 만들어서 공격하는 데 몇십분 걸리지 않는다"며 "사람이 방어할 수 있는 시대는 지났다"고 진단했다.

이어 임 교수는 "(보안) 패러다임이 '공격 AI'와 '방어 AI'의 대결 구도로 완전히 바뀌었다"며 AI 도구를 활용한 '레드티밍' 등 방어자가 능동적으로 AI를 사용해 선제적으로 공격에 대응하는 게 더 중요해졌다고 설명했다.

김명주 AI 연구소장은 "공격자들이 쓰는 AI 도구를 방어자들이 우선 사용해 취약점을 파악해야 한다"며 소규모 기업이나 업체에서는 그럴 여력이 없다고 평가했다.

이어 "보안 전문가도 없는데 AI 작업까지 수행하라고 한다면 현재로서는 역부족인 곳들이 많다"며 정부의 보안 특화 AI 모델 개발 전까지는 개별 기업의 보안 조치를 지원하는 등 국가적 차원의 대응이 필요하다고 지적했다.

임 교수는 정부가 개발 중인 보안 특화 AI를 주축으로, 국내 보안기업들이 함께 참여하는 '한국형 오픈 보안 생태계' 구축을 대안으로 제시했다.

국내 보안기업들이 보유한 비표준 보안 데이터를 공통 형식으로 변환하는 기술을 오픈소스로 제공해 서로 다른 보안 제품과 플랫폼 간 연동을 돕고, 국내 보안기업 중심의 개방형 보안 생태계를 구축하자는 구상이다.

임 교수는 보안 데이터를 표준 형식으로 변환하는 커넥터를 오픈소스로 제공하고, 정부가 개발한 보안 특화 AI를 저렴하게 공급하는 방안을 제안했다. 이를 바탕으로 클라우드 기반 보안 서비스를 제공하면 중소기업도 합리적인 비용으로 보안 서비스를 이용할 수 있다는 설명이다.

sumin02@news1.kr