[DEF CON 34] 2위 0x4b52 “AI 활용 극대화 전략 주효... 순수 한국팀 성과 기뻐”

“0x4b52는 아스키코드로 ‘KR’이라는 뜻”
“이제 AI 오케스트레이션이 해커에게 중요 역량”
“경쟁보다는 해커들끼리 즐기는 파티”

[라스베이거스=보안뉴스 강현주 기자] 팀 이름에 ‘KR’을 담으며 ‘코리아’를 내세운 해커들이 데프콘 CTF에서 2위를 차지하며 K-해커의 저력을 또 한번 보여줬다.

라스베이거스 컨벤션센터(LVCC)에서 7일부터 9일까지(현지시간) 치러진 데프콘 CTF 본선에서 2위를 차지한 ‘0x4b52’팀을 행사장 인근 회식 현장에서 만났다.

KAIST 해킹랩과 ‘하이프보이’(Hypeboy)가 연합한 이 팀은 윤인수 KAIST 교수와 토스 보안기술 리더인 이종호 BoB 기업보안트랙 책임멘토 등이 소속된 팀이며, 엔키화이트햇의 해커들도 포함돼 있다.

팀을 이끈 윤인수 교수와 이종호 멘토는 다국적팀이 아닌 한국인 해커들만으로 글로벌 무대에서 높은 성과를 낸 것에 대해 “기쁘고 자랑스럽다”고 강조했다.

두 해커는 앞서 2015년에도 한국인 해커로만 구성된 ‘DEFKOR’팀으로 데프콘 CTF에 출전해 우승을 차지한 바 있다. 이후 2018년 우승한 한미 연합팀 ‘DEFKOR00T’에도 두 해커가 함께 했다.

예전 ‘DEFKOR’처럼 순수 한국인 팀으로 다시 도전하고 싶다는 취지로 결성된 0x4b52는 그때처럼 다시 한번 한국 해커들의 글로벌 정상급 실력을 보여줬다.

Q. 팀명 ‘0x4b52’는 무슨 뜻인가
윤인수 교수 ‘영엑스사비오이’라고 부른다. 아스키코드로 ‘KR’, 코리아라는 뜻이다.

Q. 2위 축하드린다. 소감을 말해달라
윤인수 교수 30여명의 비교적 작은 규모의 순수 한국팀으로 이런 성적을 낼 수 있다는 사실이 조금 놀랍다. 세계에서 가장 강한 팀들과 같은 무대에서 마지막까지 치열하게 경쟁할 수 있었다는 것 자체가 좋은 경험이었다.

이종호 멘토 이번 데프콘은 이전에 참가했던 그 어느 대회보다도 AI의 영향이 크게 느껴졌다. 그런 변화를 가장 크게 체감한 데프콘에서 2위라는 좋은 결과까지 얻어서 더욱 의미있다.

Q. 두 분 모두 2015년과 2018년 두번이나 우승했는데 아쉬움은 없나
윤인수 교수 우승까지 했다면 더 좋았겠지만 충분히 기쁘고 자랑스럽다. CTF에서 우승했던 것은 오래전이고, 소수 인원에 순수 한국인 팀으로 나가서 기대했던 것 보다 훨씬 좋은 결과를 얻었다. 1등의 턱 끝에 있어 아쉬운 건 있지만 2등이란 성적 자체는 아쉽지 않다.

이종호 멘토 데프콘은 경쟁적인 대회보다 해커들끼리 즐기러 오는 파티에 가깝다. 그런데 경쟁, 순위만 부각되는 것 같아서 오히려 부담이 있다. 본선 현장에선 대회 끝나고 서로 즐거워하면서 박수치고 파티도 열어 서로 참여하고 대화하고, 그런 축제 문화인데 너무 순위에만 매몰되는 경향이 있는 것 같다. 저는 사실 순위에는 그렇게 연연하지 않으려 한다.

Q. 역설적으로 두 분 같은 해커들이 항상 뛰어난 성적을 거두고 와서 그런 것일지도 모르겠다
이종호 멘토 물론 CTF가 가장 크기는 하지만 그래도 여러 이벤트 중에 하나일 뿐이다. 데프콘에는 정말 많은 이벤트들이 있고 정말 많은 대회들도 있다.

Q. 작은 규모의 한국 해커만의 팀이라는 컨셉은 2015년 두 분이 소속돼 우승했던 팀인 ‘DEFKOR’와도 비슷한 것 같다
윤인수 교수 3년 전 여러 팀이 연합하며 점점 거대해지는 데프콘 CTF에서, 소수의 한국인들끼리 팀을 꾸려 자신들만의 방식으로 도전하는 ‘하이프보이’라는 팀의 모습에서 꽤 오랜만의 CTF의 ‘낭만’을 느꼈다. 결혼과 육아, 연구를 하면서 사실상 CTF에서 잠정 은퇴한 상태였는데 AI가 빠르게 발전하는 것을 보면서, 문득 이들이 꿈꾸던 낭만, 30명 남짓의 순수 한국인 팀으로 우승하는 꿈을 AI의 도움을 받아서 실제로 만들어 볼 수 있지 않을까 생각이 들었다. 그래서 다시 CTF에 참여하게 됐다.

Q. 본선에서 어떤 전략이 가장 주효했었나. 어려웠던 점은 없었나
윤인수 교수 결국 AI를 적극적으로 활용하는 게 전략이었던 것 같다. AI도 워낙 연구를 잘해가서 우리가 어떻게 AI를 효율적으로 잘 쓸 수 있을 것인지 전략을 펼쳤다. 우리가 컨셉이 적은 수의 순수 한국인이다 보니 일부로 숫자를 줄여서 30여명 정도로 했다. 인원이 많을수록 유리하다 보니 80명, 100명 팀들도 많았는데, 저희는 수를 줄이고 대신 AI랑 함께 하면 낭만있게 우승할 수 있겠다는 컨셉이었는데 사람 손이 많이 필요한 문제들이 있었다. 오히려 AI를 쓰는 데 사람의 손길이 필요해서 결국 인원이 적은 게 힘들었던 것 같다.

이종호 멘토 AI 활용 최대화 전략이 주효했다는 점 동일하게 생각한다. 특히 이번에는 아이디어가 떠오르면 AI를 활용해 바로 툴링하고, 여러 접근을 빠르게 연결하면서 검증해 나가는 속도가 이전과는 확실히 달랐다. 저희 전략은 소수 인원으로 최대한 AI 레버리지를 많이 써서 최대한 AI 한테 위임을 하는 전략을 구사하려 했었다. 그럼에도 불구하고 사람 인원수가 많이 필요하긴 했다.

Q. AI로 인해 데프콘 CTF의 양상도 달라지고 있는데 앞으로 전통적인 해커의 역량이 어떻게 변화할지
이종호 멘토 예전에는 문제를 얼마나 잘 이해하고 직접 풀어내느냐가 중요했다면, 이제는 거기에 더해서 AI를 활용해 얼마나 빠르게 분석하고, 필요한 툴을 만들고, 여러 도구와 작업을 잘 오케스트레이션하느냐가 굉장히 중요한 역량이 된 것 같다. 결국 단순히 AI를 쓰느냐 마느냐가 아니라, AI와 도구들을 얼마나 잘 오케스트레이션해서 자신의 아이디어를 빠르게 실행으로 옮기느냐가 경쟁력이 될 것 같다는 생각이다. 아직은 전문성이 높을수록 AI를 활용하는 걸 더 잘하는 것 같긴 한데 그런 격차도 점점 줄고 있어서 사실 내년, 내후년은 어떻게 될지 예상이 어렵다.

윤인수 교수 비슷하게 생각한다. 사실 이번에 CTF에 참여하게 된 것도 내년과 내후년의 CTF는 내가 아는 CTF랑은 좀 많이 달라질 수도 있겠다는 생각도 많이 들었다. 결혼과 육아로 CTF를 사실상 그만뒀었는데, 올해가 마지막 CTF일 수도 있겠다는 생각도 들어서 참가하게 됐다. 저도 솔직히 앞으로 어떻게 변할지 모르겠다. 좀 지켜봐야 할 것 같다.

Q. 함께한 해커들에게 한마디 해주시고 그 외 하고 싶으신 말은
윤인수 교수 함께한 팀원들 모두 자랑스럽고 이 결과를 만들기까지 최선을 다해준 팀원들에게 가장 고맙다. 3일동안 잠도 안자고 다같이 고생했다. 수고 많았다.

이종호 멘토 수고한 우리 팀원들과 제 회사(토스)에 감사하다. BoB를 운영하는 한국인터넷진흥원(KISA)에서 많은 지원을 해주셨고 엔키화이트햇에서도 지원해주셔서 감사하다.

▲데프콘 CTF 본선을 마치고 회식 중인 0x4b52팀 [출처: 보안뉴스]

[라스베이거스=강현주 기자(jjoo@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다