금융기관 16곳에서 AI 해킹으로 약 10만건의 정보가 빠져나갔습니다. 금융당국이 14일 전수조사 결과를 내놨고, 정부와 오픈AI는 이후 방어책을 잇따라 꺼냈습니다.

금융권 유출 현황

16개 기관에는 신한은행, KB국민은행, 하나은행, 부산은행이 들어 있습니다. 이 가운데 신한·KB국민·하나은행은 AI 해킹 공격으로 고객정보가 유출됐습니다.

우리은행과 NH농협은행도 외부 비인가자의 해킹 시도를 겪었지만, 침입 방지 시스템이 작동해 유출은 없었습니다. 금융당국은 공격에 쓰인 IP에서 AI 자율 침투테스트 도구 ‘아르텍스’(ARTEX)의 흔적을 발견했다고 밝혔습니다. 침투테스트는 실제 공격을 흉내 내 취약점을 찾는 보안 점검 기법인데, 아르텍스는 이 과정을 AI가 스스로 수행하는 도구입니다.

정부의 대응

유출이 확인되고 이틀 뒤인 15일, 국회 국정감사에서 정부의 설명이 이어졌습니다. 최우혁 과학기술정보통신부 정보보호네트워크정책실장은 과학기술정보방송통신위원회에서 AI 공격이 동시다발적으로, 짧은 시간에 자동으로 이뤄진다고 말했습니다. AI가 벌인 공격인지 가려내기도 어렵다는 설명입니다.

최 실장은 현행 정보통신망법에서는 화이트해커(보안 취약점을 찾아 알리는 해커)의 공격 행위도 불법이라고 짚었습니다. 과학기술정보통신부는 이 제약을 완화하는 시범사업을 진행 중입니다.

정부는 2026년 9월부터 보안 특화 AI 파운데이션 모델, 이른바 ‘특파모’ 사업도 추진하고 있습니다. 목표는 내년 활용입니다. 그전까지는 오픈AI의 프런티어 모델을 긴급 취약점 점검에 우선 쓴다는 것이 정부의 설명입니다.

기업과 해외의 논의

민간에서는 오픈AI가 움직였습니다. 김경훈 오픈AI 코리아 총괄 대표는 16일 서울 강남구에서 ‘오픈AI 사이버 CXO 라운드테이블’을 열고, 기업이 AI를 활용해 사이버 보안 역량을 높이는 방안을 발표했습니다. 국내 기업의 최고정보보호책임자(CISO) 등 임원급 60여명이 참석했습니다.

오픈AI가 소개한 통합 사이버 방어 솔루션 ‘데이브레이크’는 취약점 발견, 악용 가능성 검증, 수정안 마련을 돕습니다. 운영 체계 ‘디펜스 팩토리’는 AI 에이전트를 보안·개발 도구와 연결해 점검과 해결을 이어 가는 방식으로, 오픈AI의 경험을 공유하는 자리였습니다.

AI 보안 사고를 둘러싼 논의는 해외에서도 나왔습니다. 데미스 허사비스 구글 최고과학자 겸 딥마인드 이사회 의장은 14일(현지시간) 최근의 AI 보안 사고를 “조기 경고사격”이라고 평가했습니다. 앞으로 2년여 동안 안전성 확보 노력이 없다면 사고가 더 심해질 수 있다는 전망도 내놨습니다.

허사비스 의장은 새 모델을 내놓을 때 인터넷과 분리된 샌드박스 환경에서 먼저 검증하자고 제안했습니다. 원자력 등의 모범 사례를 참고한 국제 표준기구 설립도 함께 제시했습니다.

같은 행사에서 헨나 비르쿠넨 EU 집행위원회 부위원장은 기업들이 모델 검증에 충분한 시간과 자원을 쓰지 않는다고 지적했습니다. 안전성 시험을 강화해야 한다고도 촉구했습니다.