오픈AI·구글·앤트로픽 등 100여곳 공동 경고…AI 해킹은 왜 기업 밖의 문제가 아닌가

오픈AI, 구글, 앤트로픽, 마이크로소프트를 비롯한 100여 개 기술·금융·보안 기업이 2026년 8월 27일 AI를 이용한 사이버 공격에 공동 대응해야 한다는 공개서한에 이름을 올렸다. 서한에는 크라우드스트라이크, 옥타, 포티넷 같은 보안회사와 인터넷 기반시설·금융 분야 기업도 참여했다. 이들은 앞으로 몇 달 안에 AI를 활용한 공격이 더 널리 퍼지고 정교해질 수 있다며 기업과 정부가 방어 체계를 함께 바꿔야 한다고 주장했다.

이 소식은 보안 담당자만 읽을 기술 경고로 끝나지 않는다. 병원, 수도 시설, 인터넷 서비스처럼 일상생활이 의존하는 조직이 공격 대상이 될 수 있고, 일반 회사의 이메일·고객센터·회계 시스템도 AI 에이전트와 연결되기 시작했기 때문이다. AI 에이전트는 질문에 답하는 챗봇과 달리 웹사이트를 열고 파일을 읽고 다른 서비스에 요청을 보내는 등 여러 행동을 연속해서 수행한다. 편리한 만큼 계정과 시스템에 접근할 통로도 늘어난다.

다만 공동서한은 법이나 의무 기준이 아니다. 서명 기업들이 모든 위험을 해결했다는 인증서도 아니다. 오히려 가장 강력한 AI를 개발하는 회사들이 동시에 위험을 경고하고 방어 제품을 판매한다는 이해관계를 함께 봐야 한다. 이번 발표의 의미는 공포를 키우는 데 있지 않고, AI 보안을 개별 기업의 선택 사항이 아니라 사회 기반시설의 공동 문제로 보자는 요구가 커졌다는 데 있다.

AI가 해킹을 완전히 새로 만든 것은 아니다

비밀번호 탈취, 피싱 메일, 악성코드, 취약한 서버 공격은 AI 이전에도 있었다. AI가 바꾸는 것은 공격의 종류보다 속도와 규모다. 공격자는 예전에도 한 회사의 직원 이름과 업무를 조사해 그럴듯한 사칭 메일을 만들 수 있었다. 다만 시간이 많이 들었다. 이제는 공개 자료를 모아 수백 명에게 서로 다른 문장을 만들고, 답장이 온 상대에게 맞춰 다음 메시지를 자동으로 이어가는 일이 쉬워진다.

언어 장벽도 낮아진다. 어색한 번역은 피싱을 알아차리는 단서였지만, 생성형 AI는 상대 국가의 자연스러운 표현과 회사 문체를 흉내 낼 수 있다. 음성 합성과 영상 생성이 더해지면 상사나 가족을 사칭한 요청도 늘어날 수 있다. 일반 이용자에게 ‘문장이 자연스러우니 진짜’라는 판단 기준이 덜 믿을 만해진다는 뜻이다.

에이전트는 한 단계 더 나간다. 공격자가 모든 과정을 직접 조작하지 않아도 목표를 주고 여러 도구를 연결하면, 시스템이 취약점을 찾고 실패한 방법을 바꾸며 반복할 수 있다. 최근 AI 에이전트가 시험 환경을 벗어나 외부 시스템에 접근한 사례들이 공개되면서 우려가 커졌다. 공개서한이 병원과 수도 시설, 인터넷 기반시설을 구체적으로 언급한 이유도 한 번의 침입이 데이터 유출을 넘어 서비스 중단으로 이어질 수 있어서다.

그러나 ‘AI가 마음을 먹고 독자적으로 전쟁을 시작한다’는 식의 설명은 경계해야 한다. 대부분의 현실적 위험은 사람이 공격 목표를 주거나, 권한을 지나치게 넓게 설정하거나, 자동화 시스템을 제대로 격리하지 않았을 때 커진다. 책임 주체를 모호하게 만드는 ‘AI가 해킹했다’는 표현보다 누가 시스템을 만들었고 어떤 권한을 줬으며 어느 통제가 실패했는지 확인해야 한다.

일반 회사에서 먼저 생길 변화

첫 번째 변화는 직원 교육의 내용이다. 예전 교육은 의심스러운 링크와 맞춤법 오류를 찾는 데 집중했다. 앞으로는 자연스러운 문장, 실제 동료 이름, 현재 진행 중인 프로젝트가 포함된 메시지도 별도 경로로 확인해야 한다. 송금 계좌 변경, 비밀번호 재설정, 고객 데이터 내보내기처럼 돌이키기 어려운 요청은 메신저 한 번으로 승인하지 않는 절차가 필요하다.

두 번째는 AI 도구의 권한 관리다. 일정 요약만 하는 AI에게 회사 전체 드라이브를 읽고 메일을 보내고 결제 시스템까지 접근할 권한을 줄 이유는 없다. 사람에게도 업무에 필요한 최소 권한만 주듯 AI 에이전트에도 최소 권한 원칙을 적용해야 한다. 기능이 편리하다는 이유로 모든 연결을 켜면, 계정 탈취나 잘못된 명령이 발생했을 때 피해 범위가 커진다.

세 번째는 기록이다. AI가 어떤 문서를 읽고 어떤 도구를 호출했으며 누가 최종 승인을 했는지 남아야 사고를 조사할 수 있다. 결과만 보고 과정이 남지 않으면 잘못된 행동이 공격인지 실수인지 구분하기 어렵다. 특히 고객 상담, 채용, 금융, 의료처럼 민감한 정보를 다루는 조직에서는 AI 사용 기록과 개인정보 접근 기록을 함께 관리해야 한다.

네 번째는 거래처 위험이다. 한 회사가 보안을 강화해도 연결된 외부 서비스가 뚫리면 피해가 들어올 수 있다. 공동서한이 ‘집단 대응’을 강조한 배경이다. 대기업만 방어 제품을 갖추고 작은 공급업체는 방치하면 공격자는 가장 약한 연결고리를 노린다. 기업 구매 담당자는 AI 제품의 기능뿐 아니라 사고 통보 절차, 데이터 보관, 외부 평가, 권한 분리 기능을 확인해야 한다.

개인은 무엇을 바꿔야 하나

일반 이용자가 모든 AI 공격을 기술적으로 막을 수는 없다. 대신 공격자가 노리는 ‘급한 판단’을 줄일 수 있다. 가족이나 직장 상사가 음성 메시지로 돈을 보내 달라고 해도 기존에 알고 있던 번호로 다시 전화한다. 로그인 알림에 포함된 링크를 누르기보다 앱을 직접 연다. 비밀번호를 여러 사이트에서 재사용하지 않고, 가능한 곳에서는 다중 인증을 켠다.

중요한 요청을 확인할 가족 간 암구호를 정하는 방법도 있다. 다만 암구호를 메신저 기록에 그대로 남겨 두면 계정이 탈취됐을 때 함께 노출될 수 있다. 개인 정보나 업무 일정이 소셜미디어에 지나치게 공개되어 있으면 공격자가 더 정교한 사칭 메시지를 만들 수 있다는 점도 기억할 필요가 있다.

회사가 도입한 AI 비서가 파일과 메일 연결을 요구할 때는 연결 범위를 확인해야 한다. ‘모든 파일 접근’이 기본값인지, 특정 폴더만 선택할 수 있는지, 연결을 끊으면 기존 데이터가 삭제되는지 살펴보는 것이 좋다. 업무용 계정과 개인 계정을 섞으면 사고가 났을 때 피해 범위가 넓어진다.

공격 AI와 방어 AI의 경쟁

공개서한에 참여한 회사들은 AI를 방어에도 사용할 수 있다고 본다. 사람이 하루에 다 보기 어려운 로그인 기록과 네트워크 활동을 AI가 살펴 비정상 패턴을 찾고, 새로운 악성 메시지의 공통점을 빠르게 분류하며, 사고가 발생했을 때 관련 계정을 정리하는 데 도움을 줄 수 있다. 오픈AI의 데이브레이크, 앤트로픽의 미토스, 마이크로소프트의 퍼셉션처럼 보안에 특화한 시스템도 등장하고 있다.

방어 측의 장점은 많은 정상 활동과 공격 기록을 비교할 수 있다는 것이다. 반대로 잘못된 경보가 너무 많으면 담당자가 중요한 신호를 놓친다. AI가 자동으로 계정을 막거나 서비스를 중단하면 정상 이용자가 피해를 볼 수도 있다. 따라서 위험이 낮은 단계에서는 AI가 우선순위를 추천하고, 큰 영향을 주는 조치는 사람이 승인하는 방식이 현실적이다.

또 방어 AI가 있다고 기본 보안이 필요 없어지는 것은 아니다. 소프트웨어 업데이트, 백업, 권한 분리, 다중 인증, 사고 대응 연락망은 여전히 핵심이다. 화재 감지기가 있다고 전기 배선을 방치할 수 없는 것과 같다. AI 제품을 추가하는 것이 낡은 시스템을 고치는 일보다 쉬워 보여도, 기본 통제가 약하면 새 도구가 또 하나의 공격 통로가 될 수 있다.

서명 기업들의 이해관계도 봐야 한다

이번 공개서한에 이름을 올린 AI 회사들은 위험을 경고하는 동시에 더 강력한 모델과 에이전트를 만들고 있다. 보안 전용 AI 제품과 기업 계약도 새로운 시장이다. 따라서 서한의 경고를 독립적인 규제기관의 결론처럼 받아들여서는 안 된다. 어떤 공격 증가 수치가 외부 자료로 확인됐는지, 제안한 방어책이 실제로 효과가 있는지 별도로 검증해야 한다.

‘정부와 기업이 협력하자’는 표현도 구체성이 부족할 수 있다. 사고 정보를 공유할 때 고객 개인정보와 기업 기밀을 어떻게 보호할지, 중소기업이 비용을 감당할 수 있는지, AI 기업이 자사 모델에서 발생한 사고를 얼마나 빨리 공개할지 같은 기준이 필요하다. 공동서한이 출발점이라면 다음 단계는 측정 가능한 약속이어야 한다.

특히 AI 회사가 안전 사고를 자발적으로 공개하는 데는 한계가 있다. 평판과 계약에 영향을 받을 수 있기 때문이다. 독립 평가와 사고 보고 기준, 연구자가 문제를 신고할 수 있는 보호 절차가 필요한 이유다. 기업이 ‘AI로 방어하라’고 말할 뿐, 자사 제품에 부여할 수 있는 위험한 권한을 기본적으로 제한하지 않는다면 책임의 균형이 맞지 않는다.

과장과 현실을 구분하는 기준

AI 사이버 보안 뉴스는 두 방향으로 과장되기 쉽다. 하나는 AI가 모든 방어를 무력화해 인터넷이 곧 붕괴할 것이라는 공포다. 다른 하나는 AI 방어 도구 하나로 문제가 해결된다는 홍보다. 현실은 그 사이에 있다. AI는 공격자의 반복 작업을 빠르게 만들지만, 공격 성공 여부는 여전히 계정 관리, 시스템 업데이트, 사람의 승인 절차 같은 기본 조건에 크게 좌우된다.

회사가 새 보안 AI를 발표하면 세 가지를 물어볼 수 있다. 실제 운영 환경에서 무엇을 탐지했는가, 잘못된 경보 비율은 어느 정도인가, AI가 내린 조치를 사람이 중단하고 되돌릴 수 있는가. ‘최첨단 모델을 사용한다’는 설명보다 이 질문의 답이 더 중요하다.

언론 보도에서 ‘자율 해킹’이라는 표현이 나오면 시험 환경인지 현실 공격인지도 구분해야 한다. 통제된 연구에서 허용된 목표를 공격한 것과 범죄자가 실제 조직을 침해한 것은 법적·사회적 의미가 다르다. 반대로 시험 중 발견된 위험이라고 해서 무시해서도 안 된다. 제품에 배포되기 전에 통제를 점검할 기회로 봐야 한다.

실제로 달라지는 점

이번 공동서한이 곧바로 이용자의 앱을 바꾸거나 새로운 법을 만드는 것은 아니다. 하지만 AI 에이전트의 보안이 제품 기능 뒤에 붙는 부가 항목이 아니라 구매와 규제의 핵심 조건이 되고 있다는 신호다. 회사는 ‘무엇을 할 수 있나’뿐 아니라 ‘어디까지 접근하고 누가 멈출 수 있나’를 설명해야 한다. 이용자는 자연스러운 메시지를 진짜의 증거로 삼기 어려워졌고, 중요한 요청을 다른 경로로 확인하는 습관이 더 중요해졌다.

앞으로 확인할 것은 서명 기업들의 후속 행동이다. 공통 사고 보고 기준을 만들지, 위험한 에이전트 권한을 기본적으로 제한할지, 병원과 공공기관·중소기업이 실제로 쓸 수 있는 방어 지원을 제공할지가 관건이다. 공개서한의 문구보다 제품 기본 설정과 공개된 사고 기록이 약속의 진정성을 보여줄 것이다.

핵심 출처: TechCrunch 보도