【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[실시간뉴스][단독]‘해킹 AI’에 표적 주소 입력하자 43초만에 뚫어… 사용료 20원

온카뱅크관리자

2026-10-07 04:47:34

<div id="layerTranslateNotice" style="display:none;"></div> 은행 공격 중국어권 AI로 모의해킹 약점 찾아 최고관리자 권한 탈취 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="qblRdlx2zu">
 국내 금융사 연쇄 해킹에 사용 흔적이 나온 중국어권 인공지능(AI) 침투 도구 ‘아르텍스(ARTEX)’를 사용해 보니 1분도 지나지 않아 표적으로 삼은 서버가 뚫렸다. 사용료 20원을 내고 표적 주소만 입력하면 AI가 나머지 해킹 과정을 모두 수행한다.
 동아일보 취재진은 6일 외부망과 차단한 가상 실험실에서 아르텍스 해킹 실험을 진행했다. 표적은 기자 소유 노트북에 만든 가상 서버 한 대다.
 아르텍스에 목표를 입력하자 AI는 서버 내 서비스를 한꺼번에 훑어 43초 만에 치명적 약점 두 곳을 파고들었다. 한 곳에서는 오래된 파일 전송 프로그램에 숨은 백도어(비밀번호 없이 드나드는 통로)로 들어가 최고 관리자 권한을 탈취했다. 다른 한 곳에서는 웹사이트 입력창에 명령어를 끼워 넣은 뒤 원격으로 서버를 조종했다. 해킹을 시도하다 막히면 AI 스스로 방법을 바꿔 재시도했고 보고서까지 내놨다. 보고서 작성까지 걸린 시간이 약 4분, 사용료는 20원에 불과했다.
 아르텍스는 AI에 손발을 달아 스스로 실행하게 만드는 에이전틱 AI ‘오픈클로’와 유사한 보안 도구다. 두뇌 역할을 할 AI 모델 ‘딥시크’를 붙여 ‘공격 에이전트’로 만들어 실험을 진행했다. 표적이 된 가상 서버에 널리 알려진 보안 약점을 심어 뒀지만 비전문가가 AI 없이 이를 공격하는 것은 사실상 불가능하다. 특히 표적으로 삼은 가상 서버 인터넷주소(IP주소)만 입력하면 정찰과 약점 탐색, 침투 등 나머지 해킹을 AI가 스스로 이어가는 모습을 볼 수 있었다.
 문제는 이 같은 AI 해킹 도구를 누구나 내려받을 수 있다는 점이다. 네덜란드 보안업체 해드리언은 공개된 AI 모의 해킹 도구가 올 3월 기준 70개에 이른다고 밝혔다. 김승주 고려대 정보보호대학원 교수는 “(AI 도입 이후) 해킹이 용이해진 것은 사실”이라며 “기업들은 각 사가 보유한 서버의 취약점부터 파악해 선조치하도록 해야 한다”고 지적했다.
 명령 한줄 넣으면 AI 스스로 침투… 누구나 사용 해킹도구 70개
 [전방위 ‘AI 해킹’] 은행 공격 AI로 모의 해킹 해보니 수초 만에 표적서버 약점 훓고 공격 막히면 설정 바꿔 다시 시도 정찰∼침투∼보고서 작성에 4분… 해킹도구-AI모델 결합 해커 양산
 <figure class="figure_frm origin_fig" contents-hash="8463007e27cb8e0da0f416fb692a7b3fdfe7b9b7f7f0af998b3b37450b05d862" dmcf-pid="4BhMehQ9F5" dmcf-ptype="figure">
 <img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/07/donga/20261007043331642ohgf.jpg" data-org-width="1000" dmcf-mid="7tq0UiFY0z" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/07/donga/20261007043331642ohgf.jpg" width="658">
 </figure>
 <div contents-hash="c3db63ad337164b35ccf86ac16318878b6a47436eacbef950636e149e14ca253" dmcf-pid="8blRdlx2zZ" dmcf-ptype="general">
 해킹 기술이 없어도 명령 한 줄이면 인공지능(AI)이 침투를 대신하는 시대가 됐다. 본보가 6일 AI 침투 도구 ‘아르텍스(ARTEX)’에 중국 AI 모델을 연결해 외부와 차단한 실습용 가상 서버를 모의 해킹해 보니 정찰부터 침투, 보고서 작성까지 AI가 스스로 해냈다. 아르텍스는 최근 국내 금융사 연쇄 해킹 현장에서 흔적이 나온 도구로 지난달 중국 바이두가 연 AI 해킹 대회에서 150여 개 팀 가운데 1위를 했다. 그 자체가 공격하는 게 아니라 AI의 손발 역할을 하는 도구라 기존 AI 모델을 붙여야 비로소 스스로 판단하고 움직이는 ‘공격 AI 에이전트’로 작동했다.
 </div>
 ● 43초 만에 서버 최고 권한 장악
 <figure class="figure_frm origin_fig" contents-hash="bef3d9128a17de1e93dcf0618df45468c3f194d9022b89fe6c796109c801a7de" dmcf-pid="P9vdivRfpH" dmcf-ptype="figure">
 <img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/07/donga/20261007043332900aqnd.jpg" data-org-width="1200" dmcf-mid="zAfyYfvmF7" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/07/donga/20261007043332900aqnd.jpg" width="658">
 </figure>
 <div contents-hash="b8a2036f7ddb9a9db0d62a85cbd81bc7de220d01c42cf923b5e97c5e49565004" dmcf-pid="Q2TJnTe4UG" dmcf-ptype="general">
 6일 본보는 개발자 공유 사이트 깃허브에 공개된 아르텍스를 내려받은 뒤 컴퓨터 안에 가상의 서버를 만들어 주는 프로그램 ‘오라클 버추얼박스’로 실험 환경을 꾸렸다.
 </div>
 표적으로 삼은 가상 서버의 주소(IP주소)를 입력하자 AI는 서버에 열려 있는 서비스를 수 초 만에 한꺼번에 훑었다. 어떤 프로그램이 깔려 있고 얼마나 오래된 버전인지까지 자동으로 수집해 공략 지점을 좁혔다.
 정찰을 시작한 지 30초도 안 돼 원격에서 서버를 조종할 수 있는 치명적 약점 두 건을 집어냈다. 두 약점 모두 새로 찾아낸 것이 아니라 10여 년 전부터 보안 교육에 쓰일 만큼 널리 알려진 허점이다. 사람이라면 하나하나 확인해야 할 사전 조사를 AI가 순식간에 마친 것이다.
 약점을 확인한 AI는 곧바로 침투에 들어갔다. 먼저 보안 실습용 웹사이트에 스스로 로그인해 보안 설정을 ‘낮음’으로 바꾼 뒤, 입력창에 서버가 알아듣는 명령을 몰래 끼워 넣는 ‘명령 주입’ 수법으로 서버에서 명령을 실행했다. 이어 허점이 알려진 파일 전송 프로그램의 ‘뒷문(백도어)’을 파고들어 정찰 시작 43초 만에 서버 전체를 통제하는 최고 관리자(root) 권한을 손에 넣었다. 공격이 막히면 설정을 바꿔 다시 시도하는 ‘자동 보정’ 역시 인간의 개입 없이 이뤄졌다. 침투 과정과 증거를 담은 보고서까지 스스로 쓰는 데 걸린 시간은 4분 남짓, 사용료는 약 20원에 그쳤다.
 ● AI로 늘어난 비전문가 해킹… “AI 방패 세워야”
 이번 실험은 알려진 약점을 일부러 심어둔 서버를 표적으로 삼았지만 AI가 없다면 비전문가가 같은 일을 해내기 사실상 불가능하다는 게 전문가들의 설명이다. 알려진 약점이라도 어디에 어떤 허점이 있는지 찾아내려면 보안 지식이 필요한데, AI가 이 과정을 대신한다. 김승주 고려대 정보보호대학원 교수는 “공개 해킹 도구는 알려진 취약점을 빠르게 공격하는 쪽에 특화돼 있다”며 “내가 뭘 갖고 있는지 모르면 점검도 제대로 안 된다”고 말했다. 기업 입장에서는 자신의 자산을 파악하는 ‘자산 식별’이 급선무라는 얘기다.
 아르텍스 같은 도구는 누구나 내려받을 수 있다. 네덜란드 보안업체 해드리언 집계에 따르면 공개 AI 모의 해킹 도구는 2023년 GPT-4 등장 전 5개가 안 됐지만 올 3월 70개로 늘었다.
 이미 AI를 앞세운 비전문가 해킹 공격은 시작됐다. 아마존은 올 2월 ‘기술 수준이 높지 않은’ 공격자가 상용 AI로 5주 만에 55개국 방화벽 장비 600여 대를 침해했다고 밝혔다. 금융보안원이 공개한 국내 첫 AI 에이전트 공격 사례에서도 공격자는 중국 딥시크 기반 AI로 국내외 금융사 300여 곳을 동시에 노렸다.
 반면 국내 대응은 아직 사람에게 의존하는 실정이다. 과학기술정보통신부가 4일 내놓은 대책도 인력 보강과 보안점검 권고 메일 발송이 중심이다. 박춘식 전 국가보안기술연구소장은 “사이버 보안은 공격자는 100번 중 한 번만 뚫어도 성공이고 방어자는 한 번만 실패해도 뚫리는 ‘기울어진 운동장’인데, 공격자가 AI라는 무기까지 갖게 됐다”며 “방어하는 쪽이 AI로 공격자보다 먼저 취약점을 찾아 자동 대응하는 기술을 강화해야 할 것”이라고 말했다.
 김재형 기자 monami@donga.com 전혜진 기자 sunrise@donga.com 
 </section> 
 </div> 
 Copyright © 동아일보. All rights reserved. 무단 전재, 재배포 및 AI학습 이용 금지

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기