독립형 AI 환경으로 추적 피하는 북한 해커들
북한의 대표적인 해킹 조직 김수키가 자체적인 로컬 대규모 언어 모델(LLM)을 구축하고 이를 활용한 사이버 공격 체계를 본격화하고 있다. 보안 업계에 따르면 이들은 외부망 연결 없이 독립적으로 동작하는 로컬 AI 환경을 조성해 해킹 공격의 효율성을 극대화하는 시도를 이어가는 중이다.
특히 이들의 공격 인프라에서는 오픈소스 AI 실행 도구인 올라마(Ollama)와 지피티포올(GPT4All)을 사용한 구체적인 흔적이 잇따라 포착됐다. 이는 외부 클라우드 AI 서비스를 사용할 때 발생할 수 있는 계정 차단이나 보안 검열, 추적을 피하기 위해 자체 서버 내에 AI를 이식한 결과로 풀이된다.
RAG와 에이전트 도입으로 공격 프로세스 자동화
김수키는 단순히 AI 모델을 실행하는 단계를 넘어 검색증강생성(RAG) 기술과 AI 에이전트까지 결합해 공격 프로세스를 자동화하는 단계로 진화했다. RAG 기술을 활용하면 해커가 수집한 특정 타깃의 정보나 내부 데이터를 AI에 실시간으로 학습시켜 매우 정교한 맞춤형 피싱 메일을 대량으로 생성할 수 있다.
이와 함께 도입된 AI 에이전트는 해커가 매번 직접 명령을 내리지 않아도 대상 시스템의 취약점을 스스로 탐색하고 분석해 침투 시나리오를 구성한다. 기존의 수동적인 해킹 방식에서 벗어나 다수의 표적을 상대로 동시에 지능적인 공격을 수행할 수 있는 자동화된 플랫폼이 완성된 셈이다.
정교해지는 사회공학적 위협과 방어 대책 시급
최근 분석된 공격 사례 중에는 "가입리력 로출"과 같은 북한식 표기가 포함된 이메일이 빌미가 되어 김수키의 소행임이 밝혀진 바 있다. 그러나 AI 기술의 접목이 본격화되면서 이러한 어색한 언어적 한계와 번역 오류는 빠르게 극복될 것으로 보이며, 자연스러운 한국어를 구사하는 사회공학적 위협이 급증할 것으로 우려된다.
보안 전문가들은 북한 해커 그룹이 AI 기술을 무기화하는 흐름이 이미 연구 단계를 넘어 실전 배치 수준에 이르렀다고 진단한다. 이에 대응하기 위해 국내 보안 업계와 관계 기관 역시 AI 기반의 악성코드 탐지 기술을 고도화하고 지능형 방어 체계를 서둘러 구축해야 할 시점이다.