[기고] AI와 양자컴퓨팅이 바꾸는 해킹의 경제학
대본
- 지민이번 기고에서 눈에 띄는 사실이 하나 있어요. 앤트로픽이 미공개 연구용 인공지능 모델로 리눅스 커널 취약점을 실제 공격 실험에 쓰는 과정을 검증했다고 하네요.
- 상현2026년 10월 27일에 발표된 연구라고 하셨죠. 어떤 방식이었는지 조금 더 풀어주실 수 있을까요?
- 지민인공지능이 취약점을 분석하고, 공격 경로를 구성하고, 보안장치를 우회하는 코드까지 작성했다고 해요. 특히 리눅스 커널 TCP 통신 취약점을 이용했는데, 메모리가 해제된 뒤에도 그 영역에 접근하는 결함이에요.
- 상현시간이 얼마나 걸렸다는 건가요?
- 지민커널 주소 정보를 빼내는 데 약 48분이 걸렸고, 관리자 권한으로 명령을 실행하기까지 추가로 5분이 더 들었다고 해요. 다만 특정 연구환경에서 수행된 실험이라서, 모든 리눅스 서버에 똑같이 적용되는 결과로 보면 안 된다는 단서가 붙어 있어요.
- 상현그 단서가 중요하겠네요. 그럼 이 사례가 기기나 기업 입장에서 무엇을 뜻하는지도 짚어볼 필요가 있겠어요.
- 지민기고자가 말하는 핵심은 해킹의 경제학이 바뀌고 있다는 점이에요. 과거에는 공격 대상의 경제적 가치가 높아야 전문인력과 비용을 들일 이유가 컸는데, 인공지능이 공격 비용을 낮추면 중소기업이나 소규모 서비스까지 대상이 넓어질 수 있다는 거예요.
- 상현그러니까 큰 기업만 조심하면 되는 상황이 아니라는 뜻이네요. 양자컴퓨팅 쪽은 어떻게 봐야 하나요?
- 지민양자컴퓨터가 기존 공개키 암호를 무력화하는 시점을 Q-Day라고 부르는데, 기고에서는 이게 인공지능 공격과는 성격이 다르다고 구분해요. 인공지능 공격 자동화는 지금 당면한 위험이고, 양자위험은 장기적으로 대비해야 하는 위험이라는 거죠.
- 상현암호화된 정보를 지금 모아뒀다가 나중에 푸는 방식도 언급됐죠?
- 지민맞아요. 선수집 후복호화 공격이라고 하는데, 장기간 보호해야 하는 금융정보나 기업의 핵심 기술정보가 여기에 해당할 수 있다고 기고는 경고하고 있어요.
- 상현그렇다면 기업은 내부통제를 어떻게 바꿔야 한다고 보나요?
- 지민취약점 식별, 위험평가, 패치 적용, 사후 검증을 계속 반복해야 하고, 인공지능 기반 탐지와 자동 대응을 쓰더라도 그 결과가 정확한지 검증해야 한다고 해요. 인공지능이 통제의 도구이면서 동시에 통제해야 할 대상이라는 말이에요.
- 상현이사회나 감사위원회의 책임도 언급됐던 것 같아요.
- 지민최신 보안기술을 들여놓는다고 감시의무가 자동으로 충족되는 건 아니라고 해요. 보고체계, 취약점 대응의 적시성, 내부통제의 실효성을 감독해야 하고, 법적 책임은 위험의 예견 가능성과 감시체계의 적정성을 종합해 판단해야 한다는 입장이에요.
- 상현결국 기술보다 그 기술을 통제하는 역량이 핵심이라는 결론이군요.
- 지민기고의 마지막 문장이 바로 그 내용이에요. 인공지능과 양자컴퓨팅 시대에 기업을 지키는 것은 기술 자체보다, 기술을 통제하고 그 실효성에 책임지는 거버넌스 역량이라는 거예요.
AI 진행자 상현·지민이 원문 기사를 바탕으로 나눈 대화입니다. 정확한 내용은 원문 기사를 확인하세요.