무디스 “AI발 사이버 공격 빨라진다…보안 취약 기업 신용위험 확대”

취약점 악용까지 745일→44일…발행사 60%에 미해결 보안 허점
중소기업도 공격 표적…“사이버 복원력이 신용도 차별화 요인”

▲(사진=AI 생성)

AI 발전으로 사이버 공격이 빨라지면서 보안체계가 취약한 기업의 신용위험이 커질 것이라는 진단이 나왔다. 공격 자동화로 해킹 진입장벽은 낮아지는 반면 기업 보안 대응은 이를 따라가지 못하고 있어서다. 공격을 막고 피해에서 회복하는 일명 ‘사이버 복원력’이 기업 신용도를 가르는 요인으로 부각될 전망이다.

23일 국제신용평가사 무디스가 발표한 ‘사이버 보안 보고서’에 따르면 자율형 AI 에이전트는 쉬지 않고 수천 개 경로를 동시에 시험하며 시스템 취약점을 찾아낼 수 있다. 국가 지원 해커조직 등에 집중됐던 지속적·대규모 공격 역량이 더 많은 공격자에게 확산할 수 있다는 분석이다.

현재 완전 자율형 공격의 제약 요인은 높은 컴퓨팅 비용과 최신 AI 모델에 대한 접근 제한이다. 다만 비용 하락과 모델 가중치가 공개된 ‘오픈웨이트’ 모델 발전으로 이런 장벽도 낮아질 것으로 봤다.

문제는 공격과 방어 사이의 속도 차다. 보고서가 인용한 플래시포인트 분석에서 취약점 공개 후 실제 악용까지 걸린 평균 시간은 2020년 745일에서 2025년 44일로 줄었다. 반면 무디스가 신용등급을 부여한 약 9500개 발행사를 분석한 결과, 실제 악용 사례가 확인된 취약점(KEV)을 해결하는 데 걸린 기간의 중앙값은 87일이었다. 별개 조사지만 공격에 비해 방어가 뒤처지는 현실을 보여준다.

같은 발행사 집단의 60%는 지난해 네트워크에 패치되지 않은 KEV가 최소 한 건 이상 존재했다. AI가 소프트웨어 결함을 더 빨리 찾아내면 해결해야 할 보안 작업도 늘어날 수밖에 없다.

AI가 방어 역량을 높이겠지만 개선 속도에는 한계가 있다는 평가다. 자동화된 보안 패치에 결함이 있으면 가상사설망(VPN)이 마비되고, 방화벽 설정을 잘못 변경하면 핵심 업무에 차질이 생길 수 있어 사람의 검증이 여전히 필요하기 때문이다.

위험은 기업별로 차별화할 전망이다. 자금과 방어체계를 갖춘 기업은 투자로 위협을 상쇄할 수 있지만 보안 패치 관리가 부실한 기업은 대응 격차가 더 벌어질 수 있다. 공격 비용이 낮아지면서 과거 상대적으로 관심이 적었던 중소기업도 경제적 실익이 있는 표적이 될 것으로 봤다.

무디스는 은행·보험·정보기술 기업도 노후 시스템과 외부 공급업체 의존에 따른 취약점이 남아 있다며 시스템 현대화와 공급망 위험 축소를 위한 지속적인 투자가 필요하다고 지적했다.