[정보보호 솔루션 컨퍼런스] “AI 시대 보안은 ‘속도 경쟁’…금융권 대응 빨라져야”

본지가 9일 서울 양재 엘타워에서 연 '2026 정보보호 솔루션 컨퍼런스'에서 김기웅 KB국민은행 정보보호부(P) 보안전략대응 팀장이 발표에 나섰다. 김 팀장의 발표 주제는 '금융권 AI 공격 시뮬레이션과 대응 전략'이었다.

김 팀장은 이날 컨퍼런스에서 AI 시대에 금융권의 보안 대응 체계에 변화가 필요하다는 의견을 제기했다. 금융권의 AI 공격 대응 방향과 관련해 기존처럼 취약점 위험 점수만을 단독 기준으로 삼는 대응은 지양해야 한다는 취지의 견해를 밝혔다.

이어 대응 우선순위는 실제 공격 가능성을 반영해 정해야 하며, 방어 체계는 지속적으로 검증해야 한다는 방어 원칙을 설명했다. 이날 현장 사진은 양승갑 기자가 촬영했다.

김 팀장은 AI 공격 변화의 핵심으로 속도를 지목했다. 그는 과거에는 취약점 공개 후 PoC 분석·공격 코드 제작에 시간이 소요됐지만, 최근에는 AI 에이전트가 해당 과정을 자동화하고 있다고 설명했다. 이 자동화 결과 실제 공격 도달 시간도 단축됐다고 밝혔다.

김 팀장은 AI가 바꾼 대상은 공격 기법 자체보다 공격 속도·생산성이라고 설명했다. 그는 이 변화로 기존 보안 운영 방식의 재검토가 필요하다고 밝혔다.

이런 인식에 따라 KB국민은행은 AI의 금융권 환경 내 공격 시뮬레이션·취약점 점검 수행 수준을 검증했다. 검증 방식은 AI 기반 웹 취약점 자동 점검·공격 시뮬레이션의 단계적 진행이었다.

검증 결과 AI 기반 웹 취약점 자동 점검에서는 URL·API·파라미터 탐색 시간 절감이 확인됐다. 취약점 후보 도출 등 반복 작업의 시간 절감도 나타났다. 다만 금융 업무 로직 판단과 복잡한 인증 절차 대응, 실제 거래 영향 판단에서는 한계가 드러났다.

김 팀장은 오탐지 결과와 실제 취약점을 구분하고 업무 영향도를 판단하는 데서 사람의 역할이 중요하다고 밝혔다. 이런 판단이 필요한 영역이 남아 있는 가운데 공격자와 방어자 사이의 속도 차이 문제가 지목됐다.

공격자는 AI를 활용해 취약점 공개 후 실제 공격까지의 시간을 단축할 수 있다. 반면 금융사는 취약 자산·업무 영향 분석이 필요하고, 관련 부서 협의 절차와 변경 승인 절차, 패치 절차, 재검증 절차를 거쳐야 한다.

김 팀장은 공격자의 활동 속도가 몇 시간 또는 며칠 단위인 반면, 방어자는 업무 영향과 안정성을 고려해야 해 더 많은 시간이 필요하다고 설명했다. 또 문제의 핵심은 취약점 개수보다 공격자 속도와 대응 가능 시간의 격차에 있다고 짚었다.

이에 따라 속도 격차를 줄이기 위한 방안으로는 모든 취약점에 동일하게 대응하는 방식을 지양하고, 실제 공격 활용 가능성이 높은 취약점을 선별해 우선 조치해야 한다고 강조했다. 우선 판단 기준으로는 실제 악용 가능성, 공개 공격 코드, 인터넷 노출 여부, 중요 자산과의 연관성이 제시됐다.

김 팀장은 취약점 대응의 우선순위를 정할 때 위험도 자체보다 공격자의 실제 악용 가능성을 더 중시해야 한다고 밝혔다. 그는 취약점 판단 기준과 관련해 단순한 점수화는 지양해야 하며, 우선순위 설정은 실제 조치와 연계될 필요가 있다고 설명했다.

이어 보안 점검 방식의 전환이 필요하다고 밝혔다. 특정 시점에 1회 수행하는 방식에서 지속적 검증 체계로 바꿔야 한다는 것이다. 김 팀장은 과거 방식은 점검과 조치 후 종료되는 구조였다고 짚으면서, AI 시대에는 종료 없는 반복적 보안 운영이 필요하다고 말했다. 그는 그 반복 절차가 점검에서 시작해 검증, 탐지, 정책 수정, 재검증으로 이어져야 한다고 설명했다.

김 팀장은 마지막으로 핵심 기준은 AI 도입 규모가 아니라고 정리했다. 그는 필요한 역량으로 AI가 유발하는 공격 속도 변화보다 빠른 검증·대응 운영 체계 구축을 제시했다.

출처: 아이티데일리 (IT DAILY) · 양승갑 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=241503

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=241503