앤트로픽(Anthropic)의 차세대 인공지능(AI) 모델 ‘미토스(Mythos)’가 애플의 핵심 보안 체계를 우회하는 취약점 발견에 활용된 것으로 알려지면서 글로벌 사이버보안 업계에 충격이 확산되고 있다.

업계에서는 이번 사건을 단순한 보안 결함 발견을 넘어, 생성형 AI가 국가급 보안 시스템까지 빠르게 분석·공격할 수 있는 단계에 진입했다는 신호로 해석하고 있다. 특히 “AI 기반 사이버전 시대”가 본격화되고 있다는 우려도 커지고 있다.

월스트리트저널(WSJ)은 지난 14일 미국 보안 연구기업 캘리프(Calif) 연구진이 미토스를 활용해 애플 macOS 핵심 보안 기술을 우회하는 새로운 공격 기법을 발견했다고 보도했다. 보도에 따르면 연구진은 서로 다른 소프트웨어 취약점과 여러 공격 기법을 연결하는 방식으로 맥(Mac) 시스템 메모리를 손상시키고, 일반적으로 접근이 제한된 시스템 영역에 침투하는 데 성공했다. 이는 이른바 ‘권한 상승(privilege escalation)’ 공격으로, 추가 공격과 결합될 경우 시스템 전체를 장악할 가능성도 있는 것으로 알려졌다.

특히 이번 공격이 애플이 수년간 개발해온 핵심 보안 구조인 ‘메모리 무결성 강제(Memory Integrity Enforcement·MIE)’ 기술을 겨냥했다는 점에서 파장이 더욱 커지고 있다. MIE는 메모리 변조와 악성코드 삽입을 원천 차단하기 위해 애플이 약 5년에 걸쳐 구축한 핵심 보안 체계다. 그러나 연구진은 미토스를 활용해 단 5일 만에 이를 우회하는 공격 코드를 완성한 것으로 전해졌다. 연구 결과는 55페이지 분량의 기술 보고서 형태로 애플 본사에 전달됐으며, 애플은 현재 취약점 검증 작업을 진행 중인 것으로 알려졌다. 애플 측은 “보안은 최우선 과제이며 잠재적 취약점 보고를 매우 심각하게 받아들이고 있다”고 밝혔다.

사이버보안 업계가 특히 우려하는 부분은 AI가 인간 해커의 생산성을 폭발적으로 증폭시키고 있다는 점이다. 캘리프 최고경영자 타이 두옹(Thai Duong)은 “미토스가 단독으로 공격을 만든 것은 아니지만 기존 공격 기법을 매우 빠르게 재구성하고 결합하는 데 탁월했다”고 설명했다.

실제로 미토스는 올해 초 모질라 파이어폭스(Firefox)에서도 단 2주 만에 100개 이상의 고위험 취약점을 발견한 것으로 알려졌다. 이는 기존 보안 연구자들이 수개월에 걸쳐 수행하던 작업량과 맞먹는 수준이라는 평가다. 이 때문에 업계에서는 ‘버그마게돈(Bugmageddon)’이라는 표현까지 등장하고 있다. AI가 인간보다 훨씬 빠른 속도로 취약점을 찾아내면서 보안 패치 속도가 이를 따라가지 못하는 상황이 현실화될 수 있다는 의미다.

전문가들은 이번 사건이 단순한 애플 보안 문제를 넘어 AI 기반 사이버 공격의 구조적 위험성을 보여주는 사례라고 분석한다. 가장 큰 변화는 취약점 발견 속도다. 과거에는 숙련된 보안 연구자가 장기간 분석해야 발견할 수 있었던 취약점을 AI가 며칠 안에 찾아낼 수 있게 되면서, 공격자들이 훨씬 빠르게 ‘제로데이(Zero-day)’ 공격을 개발할 가능성이 커졌다는 것이다. 또한 AI는 단순 취약점 탐색을 넘어 공격 코드 생성과 우회 기법 조합, 악성 코드 최적화까지 수행할 수 있다.

특히 대규모 언어모델(LLM)은 기존 해킹 사례와 보안 논문, 오픈소스 공격 코드를 학습해 새로운 공격 패턴을 빠르게 조합할 수 있다는 점에서 위협 수준이 높아지고 있다. 이에 따라 기업들의 방어 부담도 급격히 커질 전망이다. AI 기반 공격 속도를 따라가기 위해서는 실시간 패치 체계와 AI 기반 위협 탐지 시스템 구축이 필요하지만, 대부분 기업은 이미 보안 인력 부족 문제를 겪고 있기 때문이다. 업계에서는 금융과 에너지, 국방, 의료 등 국가 핵심 인프라가 동시에 AI 기반 공격에 노출될 가능성도 우려하고 있다. 월스트리트저널은 “AI가 인간 보안 연구자의 능력을 극적으로 증폭시키고 있다”며 “보안 산업 전체를 재편할 가능성이 있다”고 분석했다.

전문가들은 이제 기존 보안 체계만으로는 AI 기반 공격을 방어하기 어려워졌다고 지적한다. 이에 따라 AI 기반 실시간 위협 탐지와 자동 패치 우선순위 분석, 이상 행위 탐지 시스템 등 ‘AI 네이티브 보안(AI-native Security)’ 체계 구축 필요성이 커지고 있다. 또 내부 시스템조차 기본적으로 신뢰하지 않는 ‘제로 트러스트(Zero Trust)’ 보안 구조 확대와 소프트웨어 공급망 보안 강화도 핵심 과제로 떠오르고 있다. 

지금까지는 인간이 취약점을 찾고 인간이 패치하는 구조였다면 이제는 AI가 공격하고 AI가 방어하는 시대가 시작되고 있다는 경고 메시지 외에   생성형 AI 경쟁이 결국 글로벌 사이버전 경쟁으로 이어질 수 있다는 경고임을 시사한다.

강푸름 기자