“단순 취약점 점수 아닌 실제 공격 가능성 중심 전환”

[보안뉴스 강현주 기자] 금융권 망분리 완화로 AI기반 보안 역량의 중요성이 부각되는 가운데, AI 기반 공격 시뮬레이션 및 레드티밍(Red Teaming)을 운영해 본 금융사 사례가 공유됐다.

김기웅 KB국민은행 보안분석대응 팀장은 최근 열린 ‘CISO 코리아 2026’에서 ‘금융권 AI 공격 시뮬레이션과 대응전략’을 주제로 발표하며 AI를 이용한 공격 검증과 보안 운영 체계의 변화 사례를 공유했다.


[출처: gettyimagesbank]

김 팀장은 생성형 AI 및 AI 에이전트 등장 이후 급격하게 변화한 금융권 보안 위협 환경과 기존 방어 체계의 한계를 짚었다.

김 팀장은 “과거에는 취약점 공개부터 공격까지 수개월이 걸렸던 사이클이, 이제는 AI 에이전트를 통해 수시간에서 수일로 압축됐다”며 “기존의 정기점검 중심 보안 운영이나 모든 취약점을 단순히 빨리 패치하려는 방식으로는 초고속 AI 공격 속도를 따라갈 수 없다”고 말했다.

탐지, 패치뿐 아니라 현재 보안 체계가 실질적으로 작동하는지 ‘검증’ 속도를 전면 재설계해야 한다는 게 김 팀장이 설명이다.

김 팀장은 “AI 시대에 왜 AI 레드티밍이 필요한가?”라는 질문을 던지며 “AI 공격을 막기 전에 먼저 ‘검증 가능한가’를 확인해야 했으며, AI 레드티밍은 도구 도입이 아니라 금융권 보안 운영체계 검증과제”라고 말했다.

KB국민은행은 AI 레드티밍을 통해 AI 에이전트들의 위협 시나리오를 분석하고, 공격표면을 식별했다. 웹 취약점 자동점검과 침투 및 공격 시뮬레이션(BAS)을 통해 공격 경로를 검증했다. 이를 통해 패치 우선순위를 재설계 하고 통합 보안 루프를 구현해 제로트러스트 체계와 연계했다. 레드티밍을 내재화 하고 ‘상시’ 검증 체계로 전환했다는 설명이다.

김 팀장은 “AI 레드티밍을 통해 후보 도출 생산성 향상, 패치 우선순위 체계 혁신, 상시 검증 루프 확보 등의 효과를 거뒀다”며 스캔 결과를 실제 침투 시나리오로 신속하게 전환하고 방어 정책의 유효성을 검증할 수 있게 됐다”고 밝혔다.

그는 특히 취약점 우선순위 분류를 단순 점수가 아닌 ‘실제 공격 가능성’ 중심으로 전환한 점을 AI 레드티밍의 성과로 꼽았다.

김 팀장을 “위험 관리 방식을 기존 CVSS 점수 중심에서 ‘실제 공격 가능성’ 중심으로 전면 전환했다”며 “인터넷 노출 여부, AI 무기화 및 자동화 가능성 등을 반영한 ‘AI-퍼스트 통합 스코어링 엔진’을 개발해, 위험도에 따른 패치 우선순위 체계를 정립했다”고 밝혔다.

이어 “공격 표면 식별(ASM), BAS, 엔드포인트 탐지 및 대응(EDR)과 네트워크 네트워크 탐지 및 대응(NDR)을 상호 순환시키는 ‘통합 보안 루프’를 구축해 정기점검 중심에서 ‘상시 검증·상시 개선’ 체계로 운영 모델을 전환하며 자동화된 대응 속도를 확보했다”고 말했다.

그는 “반복적인 탐색과 공격코드 재현은 AI 자동화로 속도를 증폭시키되, 금융 업무 로직 판단이나 실거래 영향 판단, 시나리오 승인과 같은 핵심 통제 영역은 여전히 사람이 중심”이라고 했다.

김 팀장은 “AI 시대의 레드팀은 단순한 도구 도입이 아니라 보안조직 운영 모델의 변화”라며 “AI 공격을 막는 핵심은 완벽한 예방이 아니라, AI보다 빠른 검증·대응 루프를 통해 침투 가능성을 줄이고 최악의 상황에서도 금융 서비스 연속성을 보장하는 ‘회복력’을 갖추는 것이 핵심”이라고 강조했다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>