민간 기반시설·SW·오픈소스서 취약점 523건 확인…AI 활용 점검 예산 없어 해외 빅테크 의존

기반시설 304건·상용SW 135건·오픈소스 84건 확인

AI 활용 점검 별도예산 없어 해외 빅테크 지원에 의존

(서울=연합뉴스) 권하영 기자 = 정부가 올해 6월부터 9월 말까지 민간 주요정보통신기반시설과 상용 소프트웨어(SW), 오픈소스를 대상으로 점검한 결과 취약점이 총 523건 확인된 것으로 나타났다.

최근 금융권 해킹 사고에서 인공지능(AI) 해킹 도구가 활용된 정황이 포착되는 등 AI 기반 사이버 위협이 커지는 가운데 나온 결과다.

◇ 민간 기반시설·SW·오픈소스서 취약점 523건…금융권 넘어 확산 우려

6일 국회 과학기술정보방송통신위원회 소속 이주희 더불어민주당 의원실이 과학기술정보통신부로부터 제출받은 자료에 따르면, 민간 주요정보통신기반시설 16개사(대기업 6곳, 중견기업 3곳, 중소기업 2곳, 비영리단체 5곳)를 점검한 결과 취약점 304개가 발견됐다.

상용SW는 5개사(중견기업 1곳, 중소기업 4곳)에서 135개, 오픈소스는 144종에서 84개의 취약점이 각각 확인됐다. 오픈소스의 경우 개인 또는 공동 개발하는 경우가 많아 점검 대상(개발 주체)을 특정하지 않았다.

이번 점검 결과는 최근 금융권을 강타한 해킹 사고와 맞물려 주목된다.

최근 금융당국에 따르면 신한·KB국민·하나·BNK부산은행과 예가람·웰컴저축은행, 현대캐피탈 등 7개사의 침해 사고에서 동일한 공격자의 인터넷주소(IP)가 여러 곳에서 발견됐다.

공격자는 IP를 바꿔가며 다수 금융사를 대상으로 대량의 자동화된 공격을 한 것으로 파악됐다.

은행을 공격한 IP에서는 중국어를 중심으로 깃허브(GitHub)에 오픈소스로 공개된 대규모언어모델(LLM) 기반 자율형 침투테스트 시스템인 'ARTEX AI'의 흔적이 확인돼 경찰청이 조사 중이다.

민간 기업은 그러나 폐쇄망 기반 보안 체계를 갖춘 금융권보다 오히려 보안이 취약한 경우가 많아, 금융권을 넘어 산업·기업 전반으로 AI 보안 우려가 확산하는 양상이다.

◇ AI 취약점 점검 예산 '0원'…해외 빅테크 무상 프로그램 의존

하지만 정작 AI를 활용한 민간 취약점 점검 사업에는 별도 예산이 편성되지 않은 것으로 나타났다.

앞서 과기정통부는 지난 5월 과학기술관계장관회의에 보고한 '민간 정보보호 추진계획(안)'에서 AI 취약점 공개에 대응하기 위한 민관합동 대응체계를 마련하고, 한국인터넷진흥원(KISA) 내 취약점관리센터를 중심으로 취약점·패치 관리를 일원화하고 긴급대응체계를 갖추겠다고 밝힌 바 있다.

당시 계획안은 해당 센터를 1개 단 40명 규모로 구성하되 "기존 인력을 우선 활용"하는 방식으로 꾸리겠다고 명시했다.

그러나 실제로는 프론티어 AI를 활용한 취약점 점검이 별도 예산 없이 추진되고 있으며, 과기정통부는 내년도 예산을 요청했으나 정부안에 반영되지 않은 상황이라고 밝혔다.

이 같은 취약점 점검은 오픈AI의 'GTAC' 프로그램에 참여해 고성능 보안 AI 모델인 'GPT-5.5 Cyber'를 무상으로 지원받고 있어 가능한 형편이다.

정부가 내세운 취약점·패치 관리 일원화 체계가 자체 예산 없이 해외 빅테크의 무상 프로그램에 의존해 운영되고 있는 셈으로, 전문가들은 AI를 활용한 공격이 갈수록 대량화·자동화하는 만큼 민관 대응체계의 안정적 운영을 위한 예산 확보가 필요하다고 지적한다.