AI가 약점 찾고 공격 코드 뿌리는데…인간은 여전히 '수동패치' 대응

국내 서버 82%가 패치조차 없는 구버전… 강제 전환 시 사이트 먹통 진퇴양난

오픈AI 'GPT-5.6 솔'이 PHP 치명적 원격코드실행 결함 포착

유럽·일본은 웹서비스 즉각 일시 폐쇄 초강수

AI를 활용한 취약점 탐색과 공격 자동화가 빨라지면서 정부의 사이버위기 대응 속도가 시험대에 올랐다. 경보 전파와 수동 점검 권고를 넘어 실제 차단과 복구까지 이어지는 방어체계가 요구된다. ⓒ데일리안 배군득 기자(생성형AI를 활용해 제작했으며, 수치와 내용은 기자가 검수함.)

인공지능(AI)이 인간 보안전문가조차 수년간 놓쳤던 인터넷 핵심 인프라의 치명적 결함을 단숨에 찾아내는 시대가 열렸다. 취약점 탐색부터 공격 코드 제작과 살포까지 전 과정이 기계의 속도로 자동화되면서 사이버 공방의 시간 단위는 일 단위에서 분·초 단위로 압축됐다.

이런 시대 속에서 주요 글로벌 국가들은 여전히 '수동패치'로 일관해 골든타임을 놓치고 있다는 지적이다.

이는 우리나라도 마찬가지다. 과학기술정보통신부와 한국인터넷진흥원(KISA)이 최근 오픈소스 웹 개발 언어인 PHP의 원격코드실행 취약점 확산을 막기 위해 민간 분야 사이버위기 경보를 격상하고 긴급 보안 업데이트를 당부하는 과정에서 해묵은 대응 한계가 고스란히 드러났다.

이번 보안 결함은 차세대 AI 모델이 소스코드를 심층 분석해 발굴하고 공개 직후 전 세계 웹서버를 겨냥한 자동화 해킹과 변종 악성코드가 즉각 유포되는 등 위협 양상이 완전히 달라진 사건이다.

공격자들은 최첨단 AI를 무기로 빛의 속도로 방어망의 빈틈을 파고드는데 정부의 대응 체계는 해외 공지가 나온 뒤 반나절이 지나서야 상황판단 회의를 열고 지정된 회원사에 공문을 내려보내 수동 패치를 권고하는 과거 매뉴얼을 그대로 답습했다.

전담 인력이 없는 영세 웹사이트와 구버전 서버가 즐비한 국내 웹 생태계의 현실을 외면한 채 각자도생식 수동 점검만 독려하는 정부의 대책이 또 다시 도마에 올랐다.

AI가 소스코드에 숨은 보안 결함을 찾아내면서 공격 코드 제작에 걸리는 시간도 짧아지고 있다. 취약점 검증을 가장한 악성코드까지 유포되면서 현장 관리자의 대응 부담이 커지고 있다. ⓒ데일리안 배군득 기자(생성형AI를 활용해 제작했으며, 수치와 내용은 기자가 검수함.)

◆인간 전문가 속도 추월한 제로데이 공습

이번에 전 세계 웹사이트의 약 75%가 사용하는 PHP 환경에서 발견된 두 건의 치명적 보안 취약점(CVE-2026-109618·109619)은 별도 로그인 없이도 공격자가 원격으로 서버 권한을 탈취해 악성코드를 심을 수 있는 결함이다.

이른바 'PHP2Shell'로 명명된 이 취약점은 인간 해커가 아닌 오픈AI의 최신 모델 'GPT-5.6 솔(Sol)'과 구글의 '제미나이 4 아르곤' 등 최첨단 AI가 소스코드 구조를 심층 분석하는 과정에서 실체가 드러났다.

미국 보안기업 캘리프가 'GPT-5.6 솔'을 활용해 결함을 포착했고 불과 2주 만에 실제 작동하는 공격 코드까지 입증해 냈다. 앞서 PHP 재단은 지난 2024년 외부 보안 감사에서 메모리 결함 징후를 처음 인지했음에도 인간 전문가들이 원격 공격 경로를 찾지 못해 수정을 미뤄왔던 터다.

PHP 재단은 지난 21일 공식 입장문을 통해 "우리는 사실을 감추지 않겠다"며 "2024년 외부 보안 감사에서 메모리 결함 징후를 처음 포착하고도 수정이 2년이나 늦어진 것은 보안팀의 의사결정 과정과 자원 부족 모두에 기인한 구조적 실패였다"고 자인했다.

더 큰 문제는 AI가 취약점을 발굴하자마자 해커들 역시 AI를 동원해 공격 코드와 미끼 악성코드를 대량 생성·살포하는 자동화 공격 생태계가 가동됐다는 점이다.

취약점 공개 직후 온라인 개발자 커뮤니티와 코드 저장소에는 이를 검증한다는 명목의 공격 시험 코드(PoC)가 쏟아졌고 상당수는 점검자의 시스템을 역으로 감염시키는 트로이목마 악성코드로 확인됐다.

PHP 재단조차 지난 7월 이후 AI로 생성된 허위·중복 취약점 신고 100여건을 걸러내느라 유지보수 인력이 심각한 과부하를 겪었다고 토로했다.

오픈AI 보안팀은 공식 성명에서 "이번 결함의 심각성과 PHP의 광범위한 사용량을 고려할 때 최근 기억 중 가장 파급력이 큰 보안 문제"라며 "취약점을 찾아낸 것과 똑같은 AI 역량이 공격자들의 익스플로잇 제작 속도를 앞당기는 데 악용될 수 있다"고 경고하고 방어자 지원을 위해 10억 달러 규모의 모델 접근권 지원을 발표했다.

반면 과기정통부와 KISA는 지난 22일 보도자료를 통해 "인터넷상에 유포되는 검증되지 않은 공격 시험 코드 실행을 자제하라"고 당부하는 데 그쳤다. AI 기반의 초고속 취약점 발굴과 연쇄 공격이라는 패러다임 변화에 대한 구조적 대책 없이 현장 개발자와 서버 관리자에게 주의 의무만 떠넘긴 셈이다.

글로벌 보안업체 TLP블랙의 코스틴 라이우 공동창업자는 "AI가 보안 취약점 악용 경쟁에 불을 붙이고 있다"며 "다음 단계는 인터넷에 연결된 취약한 웹서버 전부가 대량으로 침해당하는 사태가 될 것"이라고 진단했다.

국내 한 AI 보안 스타트업 관계자도 "과거 보안 분석은 사람이 직접 코드를 뜯어보거나 정적 분석 도구에 의존했지만 이제는 AI가 공격과 방어 양쪽에서 속도전을 벌이고 있다"며 "앞으로는 AI로 보안 결함을 먼저 발견하는 것뿐만 아니라 얼마나 빨리 검증하고 패치를 적용하느냐가 생존을 가를 것"이라고 꼬집었다.

취약점 공개 직후 자동화 공격이 확산하면서 경보 격상과 안내문 발송 중심의 대응 방식이 한계를 드러냈다는 지적이 나온다. 위협정보 전파와 현장의 실제 방어 조치 사이에 발생하는 시간차를 줄이는 것이 핵심 과제로 떠올랐다. ⓒ데일리안 배군득 기자(생성형AI를 활용해 제작했으며, 수치와 내용은 기자가 검수함.)

◆골든타임에 안간힘…AI 공격 속도 못 따라가는 정책 메뉴얼

기계가 주도하는 해킹 속도전에서 정부의 대응 시차는 치명적인 방어 공백으로 직결됐다. 아마존웹서비스(AWS) 자체 위협 감시망인 '매드팟'에는 공식 패치가 배포되기 나흘 전인 지난 17일부터 이미 관련 공격 시도가 포착됐다.

이어 한국시간 기준 지난 21일 밤 11시 해외 보안 당국과 PHP 개발진이 긴급 패치를 배포하자마자 전 세계 해커들의 자동화 스캐닝 공격이 폭발적으로 늘어났다. 미국 클라우드플레어 관측 결과 취약점 공개 전 10시간 동안 수천건 수준이던 해킹 시도는 공개 후 단 45분 만에 수만건으로 치솟았고 2시간 뒤에는 수십만건에 달했다.

이에 네덜란드 국가사이버보안센터와 핀란드 정부 IT 운영기관 발토리, 일본 미쓰비시UFJ금융그룹과 국세청 등은 21일 즉각 대국민 웹서비스를 일시 폐쇄하고 오프라인으로 전환하는 초강수를 뒀다.

상황이 긴박하게 흘러가자, 과기정통부와 산하기관은 골든타임을 잡기 위해 안간힘을 썼다. 글로벌 패치 발표 직후인 21일 밤 11시20분(발표 20분 만)에 KISA 보호나라 보안공지 게시 및 C-TAS(5900여 회원사)를 통해 해당 내용 전파했다.

또 다음 날 오전 주요 기반시설·호스팅사·CISO 신고기업(2만8000여개사)에 보안 공지를 전파하고, 구체적인 ‘기업 보안 대응 수칙’을 추가 공지하는 등 대응에 나섰다.

과기정통부 관계자는 "민간 분야 사이버위기 경보를 ‘주의’ 단계로 격상하여 모니터링을 강화했다"며 "또 해외 주요국(미국·유럽 등)의 조치 역시 ‘긴급 패치 적용 및 패치 불가 시스템에 대한 한시적 오프라인 격리 권고’ 수준으로, 우리 부의 조치 기조와 유사한 측면이 있다"고 말했다.

그러나 대응 속도와 별개로 향후 AI 해킹은 지금과 같은 대응방식으로는 대응하기 어렵다는게 전문가들의 견해다.

김경곤 런던 레이븐스번 대학 사이버보안과정 교수는 "이번 PHP 취약점 발견은 AI가 사이버보안 분야에 가져올 변화의 서막이라고 생각한다"며 "과거에는 숙련된 보안 전문가들이 오랜 시간 분석해야 했던 복잡한 취약점을 AI의 도움으로 훨씬 빠르게 발견하고, 실제 공격 가능성까지 검증할 수 있게 됐다는 점이 중요하다"고 진단했다.

김 교수는 이어 "중요한 것은 AI의 능력과 한계를 정확히 이해하고, 인간 전문가가 무엇을 판단하며 어디에 역량과 자원을 집중할 것인가이다"라며 "앞으로 사이버보안의 경쟁력은 AI 기술 자체보다 이를 얼마나 전략적으로 활용하고 통제할 수 있는지에 달려 있을 것"이라고 강조했다.

보안 지원이 끝난 PHP 구버전은 업그레이드 과정에서 결제·게시판 기능의 호환성 문제까지 해결해야 한다. 전담 인력이 부족한 영세 사업자를 위해 호스팅·클라우드 단계의 긴급 차단과 버전 전환 지원을 함께 마련해야 한다는 요구가 나온다. ⓒ데일리안 배군득 기자(생성형AI를 활용해 제작했으며, 수치와 내용은 기자가 검수함.)

◆구버전 서버 82%인데…사후 약방문 넘어선 'AI 자율 보안관제' 시급

공문을 받은 현장에서 즉각 패치를 적용하기 어렵다는 구조적 현실도 한 몫한다. PHP 개발진이 배포한 긴급 보안 패치는 PHP 8.2 이상 버전에만 제공된다. 공식 보안 지원이 종료된 PHP 8.1 이하 구버전은 단순 패치 파일조차 없어 언어 엔진 자체를 상위 버전으로 전면 업그레이드해야 한다.

프랑스 보안업체 시벨앙젤이 지난 21일 발표한 기술 보고서를 보면 보안검색엔진 쇼단 데이터를 토대로 분석한 결과 한국에서 공식 업데이트 지원이 종료된 PHP 8.1 이하 구버전을 사용하는 인터넷 연결 서버는 2만4591대로 버전이 확인된 국내 PHP 서버의 82%에 달한다.

이는 전 세계 평균 구버전 비율인 59%를 훌쩍 웃도는 수치이자 조사 대상 상위 10개국 중 알제리(100%)에 이어 세계 2위라는 기형적 구조다. 안랩이 추산한 국내 전체 취약 버전 호스트 수 역시 11만2183개로 세계 6위 규모에 이른다.

이처럼 국내 서버 10대 중 8대가 단순 패치조차 불가능한 구버전인데도 과기정통부와 KISA는 지원 버전 전환과 메모리·로그 증거 확보, 웹셸 설치 여부 점검 등 고난도 수동 조치를 해법으로 제시했다. 정작 통보망 밖에 놓인 수십만 영세 쇼핑몰과 전담 인력이 없는 중소기업에 대한 정부의 긴급 패치 지원은 여전히 '검토 중'이라는 말에 묶여 있다.

그사이 민간에서는 AI 보안기업 스틸리언이 무료 온라인 점검 서비스를 긴급 개설하고 에버스핀이 고객사에 사전 차단 규칙을 일괄 적용하는 등 자구책 마련에 나섰다.

박찬암 스틸리언 대표는 "이번 취약점은 개별 홈페이지의 코드가 아닌 PHP 언어 자체의 문제여서 홈페이지를 안전하게 개발했더라도 취약한 환경을 쓰면 영향을 받을 수 있다"며 "전담 인력이 부족한 기업이나 웹사이트 운영자가 운영 중인 서비스의 위험 여부를 빠르게 파악하고 후속 조치를 검토할 수 있도록 긴급 무료 점검 서비스를 마련했다"고 설명했다.

이에 대해 배 부총리는 "인터넷 접점 자산에 대한 즉각적인 차단 및 웹방화벽 룰셋 선제 적용 같은 자동화된 대응 체계가 필수적"이라며 "전 부처가 원팀으로 대응해야 할 엄중한 상황으로 각 부처와 협력해 중소기업 대상 보안점검 및 조치 요청을 논의할 예정"이라고 말했다.

해킹 공격은 이미 자동화 단계에 진입했는데 정부의 중소기업 지원은 여전히 부처 간 논의 예정이라는 사후 약방문에 머물러 있는 셈이다.

국내 웹호스팅·보안업계 관계자는 "국내 PHP 서버의 82%가 공식 지원이 끊긴 8.1 이하 구버전인데 외주 제작 뒤 방치된 중소기업 홈페이지는 언어 엔진을 상위 버전으로 강제 전환하는 순간 기존 결제 모듈이나 게시판 호환성이 깨져 사이트가 먹통이 된다"며 "당장 업데이트도 못 하고 메모리 로그를 분석할 인력도 없는 영세 기업에 수동 조치를 당부할 게 아니라 국가 차원에서 웹호스팅·클라우드 길목에 AI 기반 가상 패치를 실시간 자동 배포하는 체계로 전환해야 한다"고 강조했다.