[3줄 요약]
1. 카이스트·삼성 리서치·포스텍·조지아 공대 연합팀 ‘팀 애틀랜타’ AIxCC 우승
2. AI 활용한 차세대 해킹 시스템 경연서 최종 우승하며 두각 드러내
3. 팀 티오리도 최종 3위 차지...한국 주도의 2개팀, 1, 3위로 최고의 기술력 뽐내

[보안뉴스 조재호 기자] 세계 보안 올림픽으로 불리는 데프콘(DEF CON 33)에서 8일(현지시각) 진행된 인공지능(AI)을 활용한 차세대 해킹 시스템 경연대회 ‘AI 사이버 챌린지’(AIxCC·AI Cyber Challenge)에서 카이스트와 삼성 리서치, 포스텍, 조지아 공대의 연합팀 ‘팀 애틀랜타’(Team Atlanta)가 최종 우승을 차지했다.


▲팀 애틀랜타가 AIxCC 우승을 차지하고 기념 촬영을 하고 있다. [자료: 팀 애틀랜타]

AIxCC는 AI 기반의 사이버 추론 시스템(CRS·Cyber Reasoning System) 역량을 겨루는 대회로 미국 국방성 방위고등연구계획국(DARPA)이 지난 2023년 개최를 발표했다. 지난 2024년까지 진행된 준결승 대회(ASC)에서는 전 세계 90여 팀이 참여해 42개 팀이 진출했고, 여기서 7팀을 추려 올해 결승 대회(AFC)를 진행했다.

최종 결과는 팀 애틀랜타의 우승으로 마무리됐다. 또, 티오리가 3위를 기록하며 국내 AI 보안 기술력을 전 세계에 다시 한번 각인시켰다.

결승 대회는 △All You Need IS A Fuzzing Brain △Lacrosse △Shellphish △Team Atlanta △Theori △Trail of Bits △42-b3yond-6ug까지 7팀이 출전했다. 이번 대회의 총상금 규모는 850만달러(118억원)로 기존 데프콘 CTF보다 상금 규모가 커 많은 사람들의 이목을 집중시켰다.

지난 2024년까지 진행된 준결승 대회(ASC)에서는 전 세계 90여 팀이 참여해 42개 팀이 진출했고, 여기서 7팀을 추려 결승 이번 결승 대회(AFC)를 진행했다. 앞선 준결승 대회에서는 국내 보안기업 티오리가 1위를 차지한 바 있다.

이번 대회는 바이너리 프로그램이 아닌 소스코드 저장소를 기반으로 한 새로운 커밋에서 추가되는 보안 취약점을 찾고 검증하는 데 필요한 입력값과 조건을 알아내야 하는데, 실용적이고 확장성 있는 솔루션을 제한된 시간과 컴퓨팅 리소스를 활용해 만들어야 한다.

결선에 진출한 팀들은 총 70개로 구성된 인위적인 취약점 중 평균 77%를 발견하고, 61%를 패치했다. 또, 실제 소프트웨어에서 발견된 알려지지 않은 취약점 18건을 추가로 찾아내 AI 보안 기술의 잠재력을 입증했다.


▲AIxCC 결승전 최종 결과 순위표 [자료: 팀 애틀랜타]

팀 애틀랜타는 카이스트와 삼성 리서치, 포스텍, 조지아 공대의 연합팀으로, 김태수 조지아 공대 교수의 연구실 출신 인원들이 주축이 되어 구성된 팀이다. 팀 이름은 조지아 공대가 있는 미국 도시 애틀랜타에서 유래했다. 팀 애틀랜타는 이번 대회 우승으로 400만 달러의 연구비(약 55억원)를 지원받는다.

특히, 팀 애틀랜타는 ‘가장 많은 실제 취약점을 발견한 팀’과 ‘가장 높은 점수를 기록한 팀’이라는 특별한 기록도 세웠다. 팀의 CRS는 o4-mini·GTP-4o·o3 등 다양한 LLM을 적극 활용해 빠른 분석과 패치 능력을 선보였다. 지난해 예선에서는 sqlite3의 새로운 취약점을 발견했는데, 이는 주최 측이 의도하지 않았던 문제점이었다.

팀 애틀랜타 소속이자 카이스트 전기및전자공학부 재직 중인 윤인수 교수는 “오랫동안 준비한 대회에서 좋은 결과를 거둬 기쁘고, 우리 팀과 우리 학생들에게 특히 감사드린다”며 “결선 대회에서 제출 하루 전까지 패치가 안 되는 문제가 기억에 남는데, 시스템이 2주 동안 돌아야 해서 신뢰성이 중요한 만큼 사소한 버그 하나가 모든 걸 망칠 수 있었던 상황이라 아찔했었다”고 소감을 밝혔다.

3위를 차지한 티오리는 세계적인 보안 전문가들 사이에서 3위를 기록하며, 대한민국 사이버보안 역량을 재각인시켰다. 이들은 o4-mini·claude sonnet4·o3 등을 활용했는데, 결승 대회 진출팀 중 가장 적은 비용으로 Java 환경의 취약점을 가장 발견하면서 주목받았다.

이번 대회를 참관한 최규연 카이스트 사이버보안연구센터 선임연구원은 “두 팀의 활약은 우리나라 화이트해커의 실력이 세계 최고 수준임을 다시 한번 입증하는 계기가 됐다”며 “국내 AI 보안 기술의 밝은 미래를 기대하며, AIxCC를 통해 AI가 사이버보안에 얼마나 강력한 도구이며, 향후 필수적인 요소가 될 가능성을 명확히 보여줬다”고 전했다.

한편, 우승팀을 포함한 모든 CRS 기술은 오픈소스로 제공될 예정이며, 병원·수도·전력 등 핵심 인프라 보안 강화에 활용될 전망이다.

[조재호 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>