글로벌 AI 선도기업들이 공동 서한을 통해 즉각적 사이버 방어 강화를 요구했다
오픈AI(OpenAI), 앤트로픽(Anthropic), 구글(Google), 마이크로소프트(Microsoft)를 포함한 100개 이상의 AI 기업이 공동 서한을 통해 AI 기반 사이버 공격에 맞선 즉각적 방어 강화를 촉구했다. 이들은 사이버 방어를 조직 내 최우선 의사결정 사안으로 격상하고, 기업 소프트웨어의 취약점을 조속히 해소해야 한다고 요구했다. 특히 안전한 방어 체계를 구축할 수 있는 "제한된 시간적 창(limited window)"이 단 몇 달밖에 남지 않았다는 경고는 기술 낙관론에 익숙한 업계 내부에서 나온 것이라 무게감이 남다르다.
AI가 공격 자동화와 정교한 사회공학을 가능하게 하면서 기존 사이버 보안 방어체계의 허점이 더 빠르게 악용되는 환경이 조성되고 있다. 2025년 CrowdStrike 사이버 보안 보고서는 AI 기반 공격이 2024년 대비 89% 증가했다고 밝혔다. 이 수치는 단순한 양적 증가가 아니라 공격 방식 자체의 질적 변화, 즉 저비용 대량 맞춤형 공격이 일상화되고 있음을 보여준다.
공격의 자동화와 확장성은 이번 서한이 제기한 첫 번째 핵심 문제다. AI 도구는 피싱 메시지 생성, 악성 코드 자동 작성, 취약점 스캐닝의 전 과정을 자동화한다. 공격자가 인간 수준의 언어 능력과 코드 작성 능력을 저비용으로 결합하면, 동일한 인력으로 훨씬 많은 목표를 동시에 겨냥할 수 있다.
89%라는 수치는 공격 표면이 넓어졌다는 의미이며, 방어자의 탐지·대응 속도를 근본적으로 재설계해야 한다는 신호다. 공동 서한이 제시한 실무 요청도 구체적이다.
보안 기업의 AI 기반 공격 대비 역량 강화, 정부와 산업계의 정보 공유 협력 체계 구축, 주요 AI 기업들의 중요 인프라 방어자를 위한 자금·접근 권한·훈련 제공이 핵심 요구 사항으로 포함됐다. 이 요구는 단순 기술 지원을 넘어 인프라 보호를 위한 권한과 자원의 재배치 필요성을 드러낸다.
아울러 EU의 사이버복원력법(Cyber Resilience Act)이 9월 11일부터 디지털 요소를 포함한 제품 제조업체에 적극적으로 악용되는 취약점 및 심각한 보안 사고의 보고를 의무화한다는 사실은, 규제 차원에서 이미 구조적 변화가 본격화되었음을 뜻한다.
광고
CrowdStrike 보고서 2025년 AI 기반 공격 89% 증가를 근거로 '몇 달 남지 않은 시간'을 경고하다
서한이 지목한 세 번째 문제는 취약점의 본질이다. 오래된 버그, 과도한 권한, 잘못된 시스템 구성, 미적용 보안 패치, 약한 인증 방식—이 목록은 새로운 것이 없다. 수십 년째 반복되는 구조적 약점이다.
그럼에도 병원과 주요 기술 기업 등 핵심 인프라의 레거시 시스템에서는 패치 적용이 지체되는 경향이 여전하다. AI 기반 공격은 바로 이 빈틈을 노린다. 역설적으로, 지금 당장 '패치·권한관리·구성 개선'이라는 기본기만 충실히 실행해도 단기간 내 방어 효과는 상당하다.
일부에서는 산업 주도의 자율 규제로 충분하며 규제 강화가 혁신을 저해한다고 주장한다. 그러나 공동 서한 자체가 업계 리더들이 공개적으로 정부 협력과 자원 지원을 요청했다는 사실은, 시장 자율만으로는 이 문제를 해결하기 어렵다는 반증이다.
공격자는 국경과 규제 틈새를 빠르게 파고든다. 단기 비용 부담을 이유로 대응을 미루면 사회 전체가 치러야 할 방어 비용은 장기적으로 훨씬 커진다. 이번 서한의 구조적 함의는 세 가지로 요약된다.
첫째, AI의 보편화는 사이버 보안 산업의 역할 자체를 바꾼다. 탐지·차단 중심의 시장에서 사전 취약점 제거, 권한 최소화, 공급망 보안 강화로 수요가 이동할 전망이다.
둘째, 규제와 표준이 글로벌 수준에서 정비되면서 기업의 책임 범위가 확대된다. EU의 9월 11일 규제 시행은 제조·배포 단계 책임을 확대하는 전조로 읽힌다. 셋째, 한국 산업 구조도 직접적 영향권에 들어온다.
국내 병원·제조·통신 인프라가 레거시 시스템 의존도가 높은 만큼, 기업과 정부 모두 우선순위를 재설정해야 하는 압박을 받는다.
EU 사이버복원력법(9월 11일 시행)은 기업 책임 강화의 선례가 된다
한국의 대응 과제는 실무적이다. 핵심 인프라의 패치 관리와 권한 통제 체계를 즉시 점검해야 한다.
AI를 활용한 방어 역량을 높이기 위해 보안 인력 양성과 훈련에 구체적 예산을 투입해야 한다. 정부는 산업계와의 정보 공유 채널을 조속히 구축하고, EU 사이버복원력법 등 주요 국제 규제와의 정합성을 선제적으로 검토해야 한다. 개별 기업의 문제를 넘어, 사이버 방어 능력을 공공재로 축적한다는 관점이 정책 설계의 출발점이 되어야 한다.
광고
100여 개 AI 기업의 이번 경고는 기술적 권고를 넘어 제도적 전환을 요구하는 신호다. AI가 공격자의 핵심 도구가 된 지금, 방어 비용은 이미 기업 단독으로 감당하기 어려운 수준에 진입했다. 2025년 CrowdStrike 보고서의 89% 증가 수치와 서한의 '수개월'이라는 시간 경고는 긴박함을 수치로 보여준다.
한국의 기업과 정부가 이 전환을 선제적으로 수용하느냐, 위기가 가시화된 뒤에야 대응에 나서느냐에 따라 국내 핵심 인프라의 안전 수준이 갈릴 것이다. ※ 이 기사는 TechCrunch, TNW, ESET 보도를 참조하여 작성하였다.
FAQ
Q. 일반 기업이 당장 취할 수 있는 실무적 조치는 무엇인가?
A. 가장 시급한 것은 핵심 시스템의 보안 패치 적용 현황 점검이다. CrowdStrike 보고서가 지목한 89% 증가 공격 상당수는 이미 알려진 취약점을 노린다는 점에서, 패치 미적용 시스템 하나가 전체 인프라의 입구가 될 수 있다. 다음으로 최소 권한 원칙을 적용해 불필요한 접근 권한을 제거해야 한다. 외부 보안 전문가를 통한 침투 테스트와 구성 오류 점검을 정기화하면 공격 표면을 단기간에 의미 있게 줄일 수 있다.
Q. 정부는 어떤 역할을 해야 하나?
A. 공동 서한이 명시적으로 요청한 것처럼, 정부의 가장 중요한 역할은 민간 기업과의 위협 정보 공유 채널을 제도화하는 것이다. EU 사이버복원력법이 9월 11일부터 취약점 보고 의무를 부과하는 것처럼, 한국 정부도 국내 규제와 국제 기준 간 정합성을 선제적으로 점검해야 한다. 단계적 실행 로드맵을 제시해 중소기업의 이행 부담을 낮추는 설계가 병행되어야 실효성 있는 방어 생태계를 구축할 수 있다.
Q. 개인 사용자는 무엇을 주의해야 하나?
A. AI 기반 피싱은 과거와 달리 문법 오류나 어색한 문체 없이 정교하게 작성되므로, 발신자 주소와 링크 도메인을 반드시 직접 확인해야 한다. 소프트웨어 업데이트를 즉시 적용하는 습관이 개인 단위에서 가장 효과적인 방어다. 또한 다단계 인증(MFA)을 주요 계정에 설정하면 계정 탈취 시도의 상당 부분을 차단할 수 있다.
){kind=small}
){kind=small}
){kind=small}
){kind=small}
