[AI와 보안] 트래픽 관찰만으로 AI와 대화 훔쳐 본다...MS, ‘위스퍼 리크’ 공격 포착

[보안뉴스 김형근 기자] 마이크로소프트(MS)가 원격 언어 모델을 표적으로 하는 새로운 측면 채널 공격 ‘위스퍼 리크’(Whisper Leak)를 공개했다.

이 공격은 암호화된 통신이 오가는 상황에서도 네트워크 트래픽을 관찰해 AI 모델과의 대화에 대한 세부 정보를 알아낼 수 있게 한다.

[자료: MS]

이 데이터 유출은 사용자나 기업 통신의 개인정보보호에 심각한 위험을 초래할 수 있다. 공격자는 인터넷 서비스 제공업체(ISP) 계층이나 공유 와이파이 라우터에 접근해 암호화된 TLS 트래픽을 관찰한다.

공격자는 이 트래픽에서 패킷 크기와 타이밍 순서를 추출한 후, 훈련된 분류기를 사용해 대화 주제가 특정 민감한 범주와 일치하는지 유추한다.

스트리밍 모드의 취약성과 98% 이상의 높은 성공률
이 공격이 가능한 주된 이유는 대규모 언어 모델(LLM)의 스트리밍 기법 때문이다. 스트리밍은 모델이 응답을 점진적으로 생성해 사용자에게 빨리 보여주는 방식인데, 이때 생성되는 암호화된 패킷의 크기가 내부 토큰의 길이를 반영하게 된다.

MS 연구팀은 LightGBM, Bi-LSTM, BERT 등 세가지 첨단 인공지능 기술을 활용해 암호화된 통신만 보고도 대화 주제를 분류해내는 특별한 AI 모델을 훈련했다.

테스트 결과, 이 모델은 오픈AI, 미스트랄, 딥시크 같은 주요 챗봇과 대화에서 주제를 98% 이상의 정확도로 알아맞혀, 암호화가 무력화될 수 있음을 명확히 입증했다.

이는 정부 기관이나 ISP가 AI 챗봇 트래픽을 모니터링할 경우, 돈세탁, 정치적 반대 의견 등 특정 민감한 주제에 대해 질문하는 사용자를 식별할 수 있음을 의미한다.

공격 방어와 LLM의 구조적 안전 문제
MS는 이 공격의 효율성이 공격자가 더 많은 훈련 샘플을 수집할수록 향상돼 실질적 위협이 될 수 있다고 경고했다.

대응책으로 오픈AI, MS 등은 응답에 ‘가변 길이의 무작위 텍스트’를 추가해 각 토큰의 길이를 마스킹하는 기술적 조치를 배포했다.

사용자들은 개인 정보를 보호하기 위해 VPN 사용, 비-스트리밍 모델 사용 등의 방법을 권고 받고 있다.

최근 또 다른 연구에서는 주요 LLM들이 다중 턴 공격에 매우 취약하다는 점이 밝혀져, LLM의 근본적 안전 장치 문제가 계속해서 부각되고 있다.

[김형근 기자(editor@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)