AI 해킹은 진화하는데…망분리 규제에 막힌 보안 투자 [은행권 허술한 보안 방패]

AI 기술 보안 영역 접목 쉽지 않아 구조적 문제
‘금융분야 망분리 개선 로드맵’ 연속성 있어야

▲AI 기반 해킹 기법이 고도화되는 가운데, 1일 금융권의 망분리 규제로 인한 보안 한계가 지적되는 상황을 이미지가 보여주고 있다. (챗GPT)

인공지능(AI)이 무기화되며 사이버 공격은 한층 정교해지고 있지만 금융권은 망분리 규제에 가로막혀 보안 역량 강화에 한계를 드러내고 있다. 업계에서는 규제 완화 없이는 사이버보안의 속도전에서 뒤처질 수밖에 없다고 지적한다.

1일 금융권과 암호학계에 따르면 AI는 사이버보안에서 공격과 방어 양쪽 모두에서 핵심 역할을 하며 최근 다양한 공격 기법이 확인되고 있다. 과거에는 취약점 탐색에 많은 시간이 들었지만 해커들은 대규모 데이터를 학습한 AI를 활용해 보안 시스템의 빈틈을 자동으로 찾아내고 있는 것이다.

인도공과대학교 마드라스 연구진의 ‘사이버보안에서의 공격적 AI에 관한 종합적 조사’ 논문도 AI가 적대적 머신러닝, 데이터 포이즈닝, 모델 탈취에 취약하고 사회공학·무기화된 AI 같은 공격에도 악용될 수 있다고 지적했다. 연구진은 특히 AI가 주요 인프라에 깊숙이 통합된 만큼 머신러닝 보안 위험을 이해하고 완화하는 것이 사이버보안의 핵심 과제라고 강조했다.

하지만 국내 금융권은 사정이 다르다. 망분리 규제로 인해 AI 기술을 보안 영역에 접목하기가 쉽지 않기 때문이다. 망분리는 인터넷망과 내부망을 물리적으로 분리해 외부 연결을 차단하는 구조다. 내부 정보 유출을 막는 장점이 있지만 AI 학습과 검증에 필요한 데이터 흐름과 외부 솔루션 연계가 불가능하다는 한계가 있다.

금융당국도 이 같은 문제를 인식해 지난해 8월 ‘금융분야 망분리 개선 로드맵’을 내놨다. 자율보안과 책임 강화를 기조로 연구·개발(R&D) 목적의 망분리 예외, 가명 정보 활용 확대, 클라우드 이용 허용 등이 담긴 정책이었다. 이후 전자금융감독규정을 개정해 R&D 목적에 한해 가명 정보를 인터넷망에서 활용할 수 있도록 규제를 완화했다. 그러나 정권 교체 이후 이러한 개선 조치가 계획대로 이어질 수 있을지 불투명하다는 점에서 업계의 우려가 커지고 있다.

업계에서는 글로벌 수준의 보안 역량을 확보하려면 규제 개선과 함께 민간의 투자 확대가 필수적이라고 입을 모은다. 한 금융사 최고정보보호책임자(CISO)는 “망분리 등 각종 규제로 인해 정보보호 부문에서 AI를 활용하기 어렵다”며 “해커들의 기술은 고도화되는데 금융사는 따라가기 힘든 구조적 문제가 있다”고 토로했다.