취약점 악용까지 몇 주서 몇 분으로…BIS 금융안정연구소 보고서

은행이 소프트웨어 취약점을 발견한 뒤 수정할 수 있는 시간이 몇 주에서 몇 분으로 줄어들 수 있다는 분석이 나왔다. 첨단 인공지능(AI)이 취약점 탐지와 공격 절차 자동화를 가속하면서 금융기관의 기존 대응 체계가 압박을 받고 있다는 지적이다.

국제결제은행(BIS) 산하 금융안정연구소(FSI)는 9일 보고서에서 이 같은 내용을 밝혔다. 보고서는 정기적인 보안 평가와 예정된 패치 일정만으로는 새로운 위협에 대응하기 어려워졌다고 진단했다.

보고서 작성자들은 “프런티어 AI가 가져온 가장 중요한 변화는 취약점의 자율적 발견과 악용”이라고 밝혔다. AI가 결함을 찾는 데 그치지 않고 실제 공격에 활용할 방법을 만들고 여러 단계를 연결하면서 공격에 필요한 전문지식과 시간이 줄었다는 설명이다.

취약점 발견부터 실제 악용까지의 시간 창이 이미 몇 주에서 몇 분으로 좁아졌다는 것이 보고서의 판단이다. 금융기관이 취약점의 영향도를 분석하고 수정안을 검증한 뒤 배포 승인을 받는 절차가 공격자의 속도를 따라가지 못할 수 있다는 의미다.

프런티어 AI는 최신 고성능 AI 모델을 뜻한다. 보고서는 이 기술이 소프트웨어 코드 검토와 취약점 탐지뿐 아니라 위협 식별, 공격 경로 구성, 사고 대응에도 활용될 수 있다고 설명했다.

AI 활용은 방어 측에도 기회를 제공한다. 금융기관은 AI를 이용해 보안팀의 반복 업무를 줄이고 취약점 점검과 사고 대응 속도를 높일 수 있다.

다만 공격자는 하나의 취약점만 찾아도 되지만 방어자는 시스템 전체의 빈틈을 관리해야 한다. 보고서는 AI가 양쪽의 속도를 함께 높이더라도 방어 측에 구조적인 부담이 남는다고 지적했다.

이에 따라 긴급한 취약점에는 정기 점검일이나 예정된 유지보수 시간을 기다리지 않고 패치를 적용할 수 있는 절차가 필요하다. 기술 부서뿐 아니라 패치 승인권자와 경영진의 의사결정도 빨라져야 한다.

BIS 금융안정연구소는 금융기관이 취약점 수정과 사고 대응 역량을 기존 운영 복원력 체계 안에서 강화해야 한다고 제안했다. 새로운 AI 전용 보안 체계를 별도로 만들기보다 현재의 사이버 위험 관리 체계가 더 빠르게 작동하도록 조정하는 데 초점을 맞췄다.

운영 복원력은 장애나 공격이 발생해도 금융서비스를 유지하고 신속하게 회복하는 역량을 뜻한다. 이번 보고서는 AI 보안 대응을 별도 과제로 분리하기보다 기존 위험 관리와 복구 절차에 연결할 필요가 있다고 봤다.

금융기관이 클라우드·소프트웨어·AI 공급자에 의존하는 구조도 위험 요인으로 꼽혔다. 공통으로 사용하는 기술이나 서비스에서 문제가 발생하면 여러 금융기관과 국가로 영향이 확산될 수 있기 때문이다.

디지털 자산 서비스도 이 같은 사이버 위험을 점검할 필요가 있지만, 보고서는 특정 거래소나 블록체인 프로젝트의 피해를 지목하지 않았다. 시장 가격이나 거래량 변화도 제시하지 않았다.

같은 AI 기술이 공격과 방어에 모두 쓰일 수 있다는 문제는 자율 레드팀 AI가 취약점 점검과 방어 공백 확인에 활용되는 흐름과도 맞닿아 있다. 방어자는 자동화된 공격 시뮬레이션을 활용할 수 있지만 공격자 역시 유사한 도구로 탐색 속도를 높일 수 있다.

이번 보고서의 핵심은 AI가 사이버 복원력의 기본 원칙을 바꾼다는 데 있지 않다. 취약점 탐지부터 수정, 승인, 배포까지 기존 보안 관행을 실행해야 하는 속도와 강도가 커졌다는 데 있다.

BIS 금융안정연구소는 금융기관이 상시 탐지와 신속한 수정이 가능하도록 보안 운영 절차를 조정해야 한다고 제안했다. 정기 점검과 예정된 패치에 의존하는 대응 방식만으로는 AI가 앞당긴 공격 속도에 대응하기 어렵다는 판단이다.