AI 해킹 대응 시간이 몇 달뿐…100여 기업이 요구한 방어 전환

OpenAI·Anthropic·Google·Microsoft 등 100여 개 기업과 단체가 2026년 8월 27일 AI 기반 사이버 공격에 대비한 공동 방어를 촉구하는 공개서한에 서명했다. AWS, Cloudflare, CrowdStrike, Mastercard, Visa를 비롯해 클라우드·보안·금융·인터넷 기반시설 분야의 조직이 참여했다는 사실은 TechCrunch의 8월 27일 보도 에서 확인된다.

같은 날 공개된 서한은 앞으로 몇 달 안에 AI를 활용한 공격이 훨씬 광범위하고 정교해질 수 있다고 경고했다. 서명 조직들은 모든 조직에 사이버 방어를 경영진의 즉각적인 우선순위로 올리라고 요구하고, 보안기업·정부·프런티어 AI 기업에도 도구와 자금, 모델 접근, 현장 지원을 확대하라고 촉구했다.

‘몇 달’은 공격 예정일이 아니라 방어를 강화할 제한된 기간이다

서한의 경고는 특정 날짜에 대규모 공격이 시작된다는 예고가 아니다. 모델의 사이버 역량이 높아지면서 앞으로 몇 달 동안 공격의 범위와 정교함이 빠르게 확대될 수 있으므로, 방어자가 누적된 취약점을 줄일 시간이 제한돼 있다는 전망이다. 제목의 ‘몇 달뿐’은 확정된 공격 시한이 아니라 서명 조직들이 제시한 긴급한 대비 기간을 뜻한다.

공개서한 원문과 서명자 명단 은 병원, 정수시설, 인터넷을 작동시키는 기반시설을 위험 대상으로 지목한다. 장기간 남아 있던 소프트웨어 결함, 과도한 권한, 잘못된 설정, 약한 인증, 패치되지 않은 시스템과 레거시 기술 부채가 공격에 노출될 기반을 이미 만들었다는 진단이다.

위험의 핵심은 AI가 완전히 새로운 취약점만 만들어 낸다는 데 있지 않다. 알려졌지만 우선순위에서 밀린 결함을 더 빨리 찾고, 공격 단계를 연결하며, 반복적인 시도를 낮은 비용으로 확대할 수 있다는 점이다. 공격 속도가 빨라지면 정기 점검과 수동 검토에 의존하는 조직은 발견부터 차단까지의 시간 격차를 감당하기 어려워진다.

다만 서한은 공격 건수의 증가 폭이나 피해 규모, 국가별 발생 확률을 제시하지 않았다. ‘앞으로 몇 달’이라는 표현 역시 법적 기한이나 공개된 예측모형의 결과가 아니다. 확인된 사실은 100여 조직이 위험의 방향을 공동으로 경고하고 즉각적인 방어 강화를 요구했다는 것이며, 개별 공격의 발생 시점까지 확정한 것은 아니다.

경영진에는 책임자 지정과 취약점 검증을 요구했다

모든 조직을 향한 첫 번째 요구는 사이버 방어를 보안팀만의 기술 과제가 아니라 경영진의 즉각적인 우선순위로 바꾸라는 것이다. 필수 업무를 제외한 다른 현안보다 높은 긴급도로 위험한 취약점을 처리하고, 구매·개발·배포하는 시스템과 AI 생성 코드에도 강화된 보안 기준을 적용하라는 주문이다.

서한은 최소 권한, 강한 접근 통제와 다층 방어를 새 시스템에 반영하고, 낡은 시스템은 업그레이드하거나 교체하라고 요구한다. 필수 서비스를 멈출 수 없어 즉시 패치하기 어려운 장비에는 네트워크 격리나 접근 경로 제한 같은 보완 통제를 적용한 뒤, 서비스 중단 없이 실제 위험이 줄었는지 검증해야 한다고 명시했다.

한국 기업에 적용할 때는 서비스별 경영 책임자와 기술 책임자를 함께 지정할 필요가 있다. 모든 위험을 최고정보보호책임자에게 포괄적으로 귀속하기보다, 업무 책임자가 중단 가능성과 잔여 위험을 이해한 상태에서 유지보수 시간과 교체 예산을 결정하는 구조다. 패치 설치 기록이나 보안제품 구매 실적만으로 조치가 끝났다고 판단하지 않고 실제 공격 경로가 닫혔는지를 확인하는 것이 서한의 ‘검증된 수정’ 요구와 맞닿아 있다.

보안기업·정부·AI 기업에는 방어 역량의 확산을 주문했다

보안기업과 기술 파트너에는 최신 AI 공격 역량을 상대로 방어 수단을 계속 시험하고, 기존 도구에 AI를 결합해 탐지와 조치를 가속하라는 역할이 주어졌다. 특히 예산과 전문인력이 부족한 핵심 기반시설 운영자가 실제로 배포할 수 있는 도구와 현장 지원을 제공하고, 제조사·시스템 통합업체와 함께 취약점을 수정하거나 임시 대응 지침을 내놓으라는 요구다.

정부에는 지역·국가·국제 수준의 위협정보 공유와 사고 대응을 연결하고, 인력과 예산이 부족한 필수 서비스부터 방어 자금을 지원하라고 촉구했다. Reuters가 확인한 서한의 요구 에는 검증된 방어자가 고성능 모델을 이용할 수 있도록 신뢰 기반 접근 프로그램을 신속히 확대하고, 모든 조직이 사이버 방어를 경영 우선순위로 삼아야 한다는 내용이 포함됐다.

프런티어 AI 기업에는 책임 있는 모델 접근과 자금, 교육, 실무 지원을 제공하라는 요구가 제시됐다. AI 에이전트의 활동 주체를 추적하고 책임을 확인할 수 있는 관찰·보안 수단을 마련하고, 승인된 시험과 비공개 취약점 통보, 검증된 수정 결과를 정부·보안기업·오픈소스 관리자와 공유해야 한다는 내용도 담겼다.

이 역할 구분은 AI 방어 도구를 단순히 배포하는 것만으로는 충분하지 않다는 뜻이다. 모델 접근 권한은 검증된 방어 업무로 제한돼야 하며, 발견한 취약점이 실제 수정이나 격리로 이어지는지 확인해야 한다. 한 조직에서 확보한 대응 절차가 다른 병원이나 기반시설에도 안전하게 적용될 수 있도록 공유 체계와 현장 지원이 함께 필요하다는 것이 서한의 논리다.

한국 조직이 먼저 실행할 30일 방어 순서

공개서한 자체에 30일 일정은 없다. 다음 순서는 서한의 권고를 한국 기업·병원·상수도·인터넷 기반시설 운영자가 즉시 착수할 수 있는 작업으로 재구성한 편집 기준이다. 목표는 보안제품을 일괄 구매하는 것이 아니라 필수 서비스의 공격 경로와 책임 공백을 먼저 줄이는 데 있다.

1. 1∼7일: 필수 서비스와 자산을 연결한다. 중단될 경우 진료, 용수 공급, 통신이나 핵심 매출에 영향을 주는 서비스를 정하고 서버·클라우드 계정·산업제어 장비·외부 공급업체·AI 모델 및 API 의존성을 연결한다. 각 서비스에 경영 책임자와 기술 책임자를 지정하고 인터넷 노출 자산과 관리자 권한을 우선 표시한다.
2. 8∼14일: 권한과 모델 접근을 좁힌다. 사용하지 않는 계정과 장기 API 키를 폐기하고 관리자 계정, 서비스 계정과 외부 유지보수 접속에 다중요소 인증과 승인 절차를 적용한다. 보안 분석이나 코드 검토에 AI를 사용한다면 접근 가능한 데이터와 도구, 실행 권한, 작업기록 보존 범위를 확인한다.
3. 15∼21일: 위험한 취약점을 닫고 결과를 검증한다. 인터넷 노출, 권한 상승, 원격코드 실행과 인증 우회처럼 실제 공격 경로를 만드는 결함을 우선 처리한다. 운영 중단 때문에 패치할 수 없는 의료장비나 제어 시스템은 격리하고 접근 경로를 제한한 뒤, 보완 통제가 우회되지 않는지 승인된 방법으로 시험한다.
4. 22∼30일: 사고 대응과 복구를 연습한다. AI가 피싱과 취약점 탐색, 침투 단계를 빠르게 연결하는 상황을 가정해 탐지·격리·의사결정·신고·복구 절차를 점검한다. 보호된 백업에서 핵심 서비스를 복원할 수 있는지 확인하고 보안업체, 클라우드 사업자, 장비 제조사와 관계 기관의 비상 연락망을 갱신한다.

병원과 상수도 같은 필수 서비스에서는 보안 조치 자체가 운영 중단을 일으키지 않도록 단계적으로 검증해야 한다. 반대로 가동 중단을 우려해 취약한 장비를 계속 방치하는 것도 해법이 아니다. 패치 가능 여부, 보완 통제, 교체 계획과 잔여 위험을 하나의 의사결정 기록으로 관리해야 경영진과 운영팀이 같은 위험을 기준으로 판단할 수 있다.

공개서한은 구속력 있는 협약이 아니라 행동 요구다

현재 공개된 문서는 정부와 산업계의 공동 행동을 요청하는 공개서한이다. 참여 조직의 법적 의무, 국가별 예산, 공통 기술표준, 이행 기한이나 독립적인 점검 체계를 정한 협약은 아니다. 새 조직이 승인을 거쳐 이름을 추가할 수 있는 방식이어서 서명자 수와 명단도 바뀔 수 있다.

다음에 확인할 쟁점은 정부의 신뢰 기반 모델 접근 프로그램이 어떤 자격과 통제 아래 확대되는지, AI 기업이 핵심 기반시설에 제공할 도구·자금·교육의 범위가 어디까지인지다. 기업별 취약점 수정 속도와 공격 차단 시간, 복구시험 결과를 공개하거나 공통 기준으로 측정할지도 아직 정해지지 않았다.

이번 서한은 AI 공격을 보안팀이 장기적으로 대비할 기술 위험이 아니라 경영진·기술 공급자·정부·AI 개발사가 지금 자원과 책임을 나눠야 할 운영 위험으로 규정했다. 경고의 실효성은 앞으로 몇 달 동안 서명 조직과 정부가 이 요구를 구체적인 접근 제도, 검증된 수정과 기반시설 지원으로 전환하는지에 달려 있다.