멀웨어를 만드는 건 상당히 높은 수준의 기술이다. 하지만 더 이상 그 기술력을 열망하지 않아도 될 것이다. 챗GPT가 다 해결해줄 것이기 때문이다.
[보안뉴스 문가용 기자] 지난 11월 오픈AI(OpenAI)에서 챗GPT(ChatGPT)라는 인공지능 챗봇을 공개한 이후 수많은 보안 전문가들이 목소리를 모아 예언을 하나 했었다. 사이버 범죄자들이 챗봇을 이용해 멀웨어를 작성하는 등 각종 악성 행위를 편리하게 실시할 수 있을 거라는 것이었다. 보안 업계의 불길한 예언은 왜 그리 잘 맞아 떨어지는 것일까. 그 말은 이미 현실로 이뤄지고 있는 것으로 보인다.
보안 업체 체크포인트(Check Point)에 의하면 이미 다크웹 내 포럼에서 활동하는 사이버 범죄자들이 챗GPT를 악성 공격에 활용한 사례들이 공유되고 있다고 한다. 체크포인트가 발견한 것만 세 건이었다. 참고로 챗GPT는 사람과 자연어로 소통하는 인공지능으로, 인간의 복잡한 요청들에 반응하여 꽤나 그럴 듯한 결과물을 낼 수 있다. 산문을 쓰거나, 이메일을 작성해 보내는 등의 행위가 가능하다. 그러니 악의적인 활용도 생각해 보는 것이 당연하다.
멀웨어 작성에서부터 다크웹 시장 구축까지
체크포인트가 발견한 세 건의 사건 중 한 건은 한 멀웨어 개발자와 관련된 것이다. 이 인물은 다크웹 해킹 포럼에서 자신이 챗GPT를 활용해서 예전부터 잘 알려진 멀웨어를 개발하는 실험을 진행했다고 공개했다. 뿐만 아니라 챗GPT가 자신의 명령에 따라 개발한 파이선 기반 정보 탈취 멀웨어의 코드 일부를 공유하기도 했다. 12가지 종류의 파일을 피해자의 시스템에서 훔쳐내는 멀웨어였다. 그는 챗GPT에게 명령을 내려 PuTTY SSH와 텔넷 클라이언트를 다운로드 받는 자바 코드를 만들었고, 파워셸을 통해 피해자 시스템에서 몰래 실행시키는 데에 성공했다고까지 밝혔다
그러더니 12월 1일 한 USDoD라는 이름을 사용하는 한 공격자가 챗GPT를 사용해 생성한 파이선 스크립트를 다크웹에 공개했다. 이 스크립트는 블로피시(Blowfish)와 투피시(Twofish)라는 암호화 알고리즘을 사용해 데이터를 암호화 하고 복호화 하는 기능을 가지고 있었다. 이 스크립트가 그 자체로 악성으로 분류될 만한 것은 아니었다. 하지만 공격자들이 악의적인 목적을 달성하기 위해 얼마든지 활용할 수 있다고 USDoD는 강조했다. 게다가 USDoD는 “이 쓸만한 암호화 / 복호화 스크립트는 챗GPT로 처음 만들어 본 것”이라며 별다른 경험 없이도 쉽게 뭔가를 만들어 내는 게 가능하다고 강조했다.
그 다음 또 다른 사이버 범죄자 한 명이 다크웹에서 챗GPT를 사용해 완전 자동화 된 다크웹 시장 플랫폼을 구축했다고 밝혔다. 훔쳐 낸 은행 계좌 및 지불 카드 데이터를 거래하는 데 특화된 시장이었다고 하며, 멀웨어와 불법 약품, 탄약과 같은 물건들도 거래가 가능하다고 했다. 그런 후 이 범죄자는 자신의 말을 입증하기 위해 서드파티 API를 활용하는 방법까지 공개했다.
아무런 경험이 없어도
챗봇은 이미 예전부터 범죄 시장으로의 진입 장벽을 크게 낮출 기술로 꼽혔었다. 체크포인트의 위협 첩보 책임자인 세르게이 샤이케비치(Sergey Shykevich)는 “챗GPT와 같은 챗봇은 사람의 말을 듣고(혹은 읽고) 반응하는 기술이기 때문에 ‘코드를 짜라’는 명령만 인간의 언어로 내릴 줄 알면 소프트웨어를 완성할 수 있게 된다”고 설명한다. “물론 ‘코드를 짜라’만으로 소프트웨어가 완성되지는 않습니다. 세부 기능들을 챗GPT에 설명할 수 있어야 하겠죠. 하지만 그런 ‘말’을 익히는 건 코딩 기술을 익히는 것보다 훨씬 쉽습니다.”
그래서 샤이케비치는 “공격자들이 멀웨어를 손쉽게 대량으로 만들어내는 것이 챗GPT가 단기간에 가져올 수 있는 가장 실질적인 위협”이라고 설명한다. “고급 기술 없이도 멀웨어를 대량 생산할 수 있는 때가 된 것이라고 볼 수 있습니다. 여기에다가 장기적인 위협도 존재하죠. 그건 바로 고급 기술을 갖춘 공격자들이 챗봇을 이용하는 겁니다. 이미 코딩을 할 줄 아는 사람들이 챗봇을 활용해 뭔가를 만들어낸다면 효율이라는 측면에서 이전과 비교할 수 없는 발전을 이룰 수 있습니다. 혹은 아무도 생각하지 못했던 새로운 멀웨어를 만들어낼 수도 있고요.”
하지만 지금 당장은
오픈AI와 인공지능 개발자들은 인공지능 알고리즘을 향상시키는 중이다. 챗GPT와 비슷한 알고리즘과 솔루션들은 출시만 되지 않았을 뿐 여러 실험실에서 이미 다수 탄생했다. 앞으로 나올 챗봇들의 수는 더 많다. 공격자들이 무료로 얻어 활용할 수 있는 도구들이 무한정 태어나고 있다는 뜻이다. 다만 아직 인공지능 알고리즘 기술은 완벽과 거리가 멀다. 이 때문에 악성 공격자들의 의도가 온전히 구현되지는 않는다. 아마 한동안 그럴 것으로 예상된다. 투자 효율을 중요하게 생각하는 공격자들 입장에서 인공지능에 많은 투자를 하기는 꺼려지는 상황이다.
이럴 때 개발자들이 해야 할 중요한 역할이 하나 있다. 지금 향상시키고 있는 각종 인공지능 알고리즘이 악성 명령을 판단해 거부할 수 있도록 훈련시키는 것이다. 챗GPT를 교란시켜 악의적 목적을 달성하는 방법은 해킹 포럼들에서 활발히 공유되고 있다. 이것들 전부 차후에 있을 공격 시나리오가 된다. 이를 보안 업계에서 가져다가 학습한다면 인공지능의 기능성이 나쁜 쪽으로 확대되지 않도록 어느 정도는 막을 수 있을 것으로 예상된다. 그래도 어느 순간 공격자들이 우회로를 찾아내긴 하겠지만, 거기까지 가는 데 적잖은 노력과 시간을 투자해야 할 것이다.
3줄 요약
1. 챗GPT를 활용한 악성 공격 사례, 이미 최소 3건.
2. 멀웨어 제작의 난이도를 챗봇들이 크게 낮춰줄 수 있음.
3. 인공지능 개발자들이 악성 명령을 차단하도록 인공지능을 훈련시켜야 함.
[국제부 문가용 기자(globoan@boannews.com)]
[보안뉴스 문가용 기자] 지난 11월 오픈AI(OpenAI)에서 챗GPT(ChatGPT)라는 인공지능 챗봇을 공개한 이후 수많은 보안 전문가들이 목소리를 모아 예언을 하나 했었다. 사이버 범죄자들이 챗봇을 이용해 멀웨어를 작성하는 등 각종 악성 행위를 편리하게 실시할 수 있을 거라는 것이었다. 보안 업계의 불길한 예언은 왜 그리 잘 맞아 떨어지는 것일까. 그 말은 이미 현실로 이뤄지고 있는 것으로 보인다.
[이미지 = utoimage]
보안 업체 체크포인트(Check Point)에 의하면 이미 다크웹 내 포럼에서 활동하는 사이버 범죄자들이 챗GPT를 악성 공격에 활용한 사례들이 공유되고 있다고 한다. 체크포인트가 발견한 것만 세 건이었다. 참고로 챗GPT는 사람과 자연어로 소통하는 인공지능으로, 인간의 복잡한 요청들에 반응하여 꽤나 그럴 듯한 결과물을 낼 수 있다. 산문을 쓰거나, 이메일을 작성해 보내는 등의 행위가 가능하다. 그러니 악의적인 활용도 생각해 보는 것이 당연하다.
멀웨어 작성에서부터 다크웹 시장 구축까지
체크포인트가 발견한 세 건의 사건 중 한 건은 한 멀웨어 개발자와 관련된 것이다. 이 인물은 다크웹 해킹 포럼에서 자신이 챗GPT를 활용해서 예전부터 잘 알려진 멀웨어를 개발하는 실험을 진행했다고 공개했다. 뿐만 아니라 챗GPT가 자신의 명령에 따라 개발한 파이선 기반 정보 탈취 멀웨어의 코드 일부를 공유하기도 했다. 12가지 종류의 파일을 피해자의 시스템에서 훔쳐내는 멀웨어였다. 그는 챗GPT에게 명령을 내려 PuTTY SSH와 텔넷 클라이언트를 다운로드 받는 자바 코드를 만들었고, 파워셸을 통해 피해자 시스템에서 몰래 실행시키는 데에 성공했다고까지 밝혔다
그러더니 12월 1일 한 USDoD라는 이름을 사용하는 한 공격자가 챗GPT를 사용해 생성한 파이선 스크립트를 다크웹에 공개했다. 이 스크립트는 블로피시(Blowfish)와 투피시(Twofish)라는 암호화 알고리즘을 사용해 데이터를 암호화 하고 복호화 하는 기능을 가지고 있었다. 이 스크립트가 그 자체로 악성으로 분류될 만한 것은 아니었다. 하지만 공격자들이 악의적인 목적을 달성하기 위해 얼마든지 활용할 수 있다고 USDoD는 강조했다. 게다가 USDoD는 “이 쓸만한 암호화 / 복호화 스크립트는 챗GPT로 처음 만들어 본 것”이라며 별다른 경험 없이도 쉽게 뭔가를 만들어 내는 게 가능하다고 강조했다.
그 다음 또 다른 사이버 범죄자 한 명이 다크웹에서 챗GPT를 사용해 완전 자동화 된 다크웹 시장 플랫폼을 구축했다고 밝혔다. 훔쳐 낸 은행 계좌 및 지불 카드 데이터를 거래하는 데 특화된 시장이었다고 하며, 멀웨어와 불법 약품, 탄약과 같은 물건들도 거래가 가능하다고 했다. 그런 후 이 범죄자는 자신의 말을 입증하기 위해 서드파티 API를 활용하는 방법까지 공개했다.
아무런 경험이 없어도
챗봇은 이미 예전부터 범죄 시장으로의 진입 장벽을 크게 낮출 기술로 꼽혔었다. 체크포인트의 위협 첩보 책임자인 세르게이 샤이케비치(Sergey Shykevich)는 “챗GPT와 같은 챗봇은 사람의 말을 듣고(혹은 읽고) 반응하는 기술이기 때문에 ‘코드를 짜라’는 명령만 인간의 언어로 내릴 줄 알면 소프트웨어를 완성할 수 있게 된다”고 설명한다. “물론 ‘코드를 짜라’만으로 소프트웨어가 완성되지는 않습니다. 세부 기능들을 챗GPT에 설명할 수 있어야 하겠죠. 하지만 그런 ‘말’을 익히는 건 코딩 기술을 익히는 것보다 훨씬 쉽습니다.”
그래서 샤이케비치는 “공격자들이 멀웨어를 손쉽게 대량으로 만들어내는 것이 챗GPT가 단기간에 가져올 수 있는 가장 실질적인 위협”이라고 설명한다. “고급 기술 없이도 멀웨어를 대량 생산할 수 있는 때가 된 것이라고 볼 수 있습니다. 여기에다가 장기적인 위협도 존재하죠. 그건 바로 고급 기술을 갖춘 공격자들이 챗봇을 이용하는 겁니다. 이미 코딩을 할 줄 아는 사람들이 챗봇을 활용해 뭔가를 만들어낸다면 효율이라는 측면에서 이전과 비교할 수 없는 발전을 이룰 수 있습니다. 혹은 아무도 생각하지 못했던 새로운 멀웨어를 만들어낼 수도 있고요.”
하지만 지금 당장은
오픈AI와 인공지능 개발자들은 인공지능 알고리즘을 향상시키는 중이다. 챗GPT와 비슷한 알고리즘과 솔루션들은 출시만 되지 않았을 뿐 여러 실험실에서 이미 다수 탄생했다. 앞으로 나올 챗봇들의 수는 더 많다. 공격자들이 무료로 얻어 활용할 수 있는 도구들이 무한정 태어나고 있다는 뜻이다. 다만 아직 인공지능 알고리즘 기술은 완벽과 거리가 멀다. 이 때문에 악성 공격자들의 의도가 온전히 구현되지는 않는다. 아마 한동안 그럴 것으로 예상된다. 투자 효율을 중요하게 생각하는 공격자들 입장에서 인공지능에 많은 투자를 하기는 꺼려지는 상황이다.
이럴 때 개발자들이 해야 할 중요한 역할이 하나 있다. 지금 향상시키고 있는 각종 인공지능 알고리즘이 악성 명령을 판단해 거부할 수 있도록 훈련시키는 것이다. 챗GPT를 교란시켜 악의적 목적을 달성하는 방법은 해킹 포럼들에서 활발히 공유되고 있다. 이것들 전부 차후에 있을 공격 시나리오가 된다. 이를 보안 업계에서 가져다가 학습한다면 인공지능의 기능성이 나쁜 쪽으로 확대되지 않도록 어느 정도는 막을 수 있을 것으로 예상된다. 그래도 어느 순간 공격자들이 우회로를 찾아내긴 하겠지만, 거기까지 가는 데 적잖은 노력과 시간을 투자해야 할 것이다.
3줄 요약
1. 챗GPT를 활용한 악성 공격 사례, 이미 최소 3건.
2. 멀웨어 제작의 난이도를 챗봇들이 크게 낮춰줄 수 있음.
3. 인공지능 개발자들이 악성 명령을 차단하도록 인공지능을 훈련시켜야 함.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-05] 
