中 해킹조직, 딥시크로 공격 자동화…연구진 “AI 도입 뒤 공격 2배 이상”

[인터내셔널포커스] 중국 정부와 연계된 것으로 지목된 해킹 조직들이 딥시크(DeepSeek)를 비롯한 인공지능(AI)을 사이버 공격에 활용하면서 공격 규모를 빠르게 확대하고 있다는 분석이 나왔다. 표적 탐색과 취약점 분석, 공격 코드 작성 등 시간이 많이 걸리던 작업을 AI가 대신하면서 공격 속도와 범위가 크게 넓어지고 있다는 것이다.

25일 블룸버그통신 등에 따르면 대만 사이버보안업체 TeamT5는 중국 정부 연계 해킹 조직들이 반복적인 작업을 AI에 맡기고 악성 소프트웨어 개발 등에 활용하기 시작한 이후 이들이 수행한 공격 건수가 두 배 이상 증가한 것으로 분석했다.

해커들의 AI 활용 범위는 단순한 정보 검색을 넘어 공격 대상 정찰과 취약점 분석, 공격 코드 생성 등 사이버 공격의 여러 단계로 확대되고 있는 것으로 파악됐다.

특히 중국 AI 모델 딥시크가 자주 활용되는 것으로 나타났다. TeamT5는 모든 공격에서 사용된 AI 모델을 특정할 수 있는 것은 아니지만 딥시크가 높은 성능과 맞춤형 활용 가능성, 상대적으로 낮은 운용 비용 때문에 해커들에게 선호되고 있다고 설명했다.

중국에는 문샷AI(月之暗面)의 Kimi K3를 비롯해 성능이 더 뛰어난 것으로 평가되는 AI 모델도 있지만, 해커들은 상대적으로 보안 제한이 느슨하고 비용 부담이 낮은 딥시크를 선호하는 것으로 분석됐다. 서방 AI 모델은 안전장치가 더 엄격해 이를 우회하는 데 상대적으로 많은 노력이 필요하다는 게 연구진의 설명이다.

실제 공격 사례도 포착됐다. TeamT5에 따르면 ‘Grimfengxi’로 불리는 조직은 딥시크를 이용해 취약점 공격 코드를 생성했다. ‘Huapi’라는 조직은 딥시크 모델을 이용한 것으로 추정되는 방식으로 대만 기업의 이메일 시스템을 공격했다.

또 다른 조직 ‘Teleboyi’는 AI를 이용해 인터넷에서 약 1000개의 IP 주소를 수집하고 공격 대상 기업의 도메인 구조를 파악했다. AI가 코드 작성 보조를 넘어 실제 공격에 앞선 정찰과 정보수집 단계까지 활용되고 있는 셈이다.

사이버 공격에 악용되는 AI는 중국산 모델에만 국한되지 않는다. 대만 사이버보안업체 CyCraft에 따르면 해킹 소프트웨어를 판매하는 한 업체는 서방의 한 싱크탱크를 공격하는 과정에서 OpenAI의 ChatGPT를 활용한 것으로 조사됐다.

해커들은 침해한 컴퓨터에서 직원의 Signal 데이터베이스 사본을 확보한 뒤 이를 해독하기 위한 소프트웨어 모듈을 개발하는 과정에서 ChatGPT에 도움을 요청한 것으로 전해졌다. 해당 업체는 직원이 약 10명인 소규모 회사로, 해킹 도구를 30만~50만 위안에 판매한 것으로 파악됐다.

이 업체의 고객에는 최소 4개의 해킹 조직이 포함됐으며, 이 가운데 한 조직의 활동은 미국 정부가 중국 정부 지원을 받는다고 지목한 해킹그룹 ‘Mustang Panda’의 기존 활동과 일부 겹치는 것으로 조사됐다.

TeamT5는 Anthropic의 Claude Code가 활용된 사례도 확인했다고 밝혔다. ‘Slime22’라는 조직이 대만 기술기업의 시스템에 침입한 뒤 Claude Code를 이용해 내부망에서 다른 시스템으로 이동하는 작업을 수행했다는 것이다.

이번 분석은 AI가 기존 해킹 기술을 대체한다기보다 숙련된 공격자들의 작업을 자동화해 공격 속도와 규모를 키우는 수단으로 자리 잡고 있음을 보여준다. 고성능 최첨단 모델이 아니더라도 정찰과 코드 생성 등 반복 작업을 AI에 맡길 수 있게 되면서 사이버 공격의 대량화가 새로운 보안 위협으로 떠오르고 있다.