AI 시대, 해커는 AI를 고용했다 [이수정의 IT세상]

[이수정 한국IBM 사장] 한때 사이버 공격은 숙련된 전문가들의 영역이었다. 공격 코드를 작성하고 취약점을 분석하며, 기업 시스템에 침투하기 위해서는 상당한 기술과 시간이 필요했다. 그래서 공격자의 규모와 역량은 어느 정도 예측 가능한 변수였다.

하지만 생성형 AI 시대가 열리면서 이 공식은 무너지기 시작했다. 오늘날 공격자는 더 이상 많은 인력을 필요로 하지 않는다. AI가 코드를 작성하고, 악성 프로그램을 변형하며, 피싱 이메일을 만들어낸다. 심지어 실제 사람과 구분하기 어려운 목소리와 영상까지 생성해 신뢰를 가장한다.

기업의 입장에서 이는 단순한 기술 변화가 아니다. 공격자의 생산성이 근본적으로 달라졌다는 의미다. 기업들이 AI를 통해 업무 효율성을 높이 듯, 공격자들 역시 같은 기술을 활용해 공격의 속도와 규모를 키우고 있다. 그리고 그 변화는 우리가 예상하는 것보다 훨씬 빠르게 진행되고 있다..

IBM이 최근 발표한 ‘2026 데이터 유출 비용(Cost of a Data Breach Report 2026)’ 보고서에 따르면, 전 세계 데이터 유출 사고의 평균 피해 비용은 약 500만달러(원화 약 73억원)에 달한다. 특히 AI를 활용한 공격은 기존 공격보다 더 큰 피해를 초래하는 것으로 나타났다.

많은 사람들이 AI 시대의 가장 큰 위험으로 AI 모델 자체를 떠올린다. 그러나 실제 현장은 조금 다르다. 기업이 피해를 입는 원인은 최첨단 AI 모델이 아니라 준비되지 않은 운영 환경인 경우가 훨씬 많다. 보고서 역시 API, 플러그인, 클라우드 설정 오류 등 AI를 둘러싼 인프라의 취약성을 주요 원인으로 지목했다.

이 점은 중요한 시사점을 던진다. 오늘날 기업의 과제는 AI를 사용할 것인가가 아니라, AI를 얼마나 안전하고 신뢰할 수 있는 방식으로 운영할 것인가에 있다.

지난 몇 년 동안 기업들은 업무 자동화와 고객 서비스 혁신, 소프트웨어 개발 생산성 향상 등 거의 모든 영역에서 AI 도입을 가속화해 왔다. 그러나, AI가 확산될수록 기업이 관리해야 할 대상도 함께 늘어난다. 이제는 사람뿐 아니라 애플리케이션, AI 에이전트, 수많은 API와 연결된 시스템까지 모두 새로운 공격 표면이 되고 있다.

더 큰 문제는 공격자의 속도와 기업의 대응 속도 사이의 격차가 점점 벌어지고 있다는 점이다. 보고서에 따르면 데이터 유출 사고를 발견하고 통제하기까지 평균 247일이 걸렸다. 거의 8개월에 가까운 시간이다. 공격자는 몇 분 만에 침투하고 몇 시간 안에 데이터를 탈취하는 반면, 방어 조직은 수개월이 지나서야 사고를 인지하는 경우도 적지 않다..

결국 오늘날 보안의 본질은 더 높은 방어벽을 쌓는데 있지 않다. 공격보다 먼저 탐지하고, 더 빠르게 대응하는 데 있다. AI 시대의 보안 전략 역시 이러한 현실에 맞게 재설계되어야 한다. 공격자가 AI로 생산성을 높이다면 방어 역시 AI를 활용해 대응 속도를 높여야 한다. 실제로 AI와 자동화를 적극 도입한 기업들은 데이터 유출 비용이 더 낮았고, 사고 대응 시간도 크게 단축한 것으로 조사됐다. AI로 무장한 공격자에게 인산의 노력만으로 맞서겠다는 발상은 더 이상 현실적이지 않다.

결국 핵심은 기술이 아니라 속도다. 산업혁명 시대에 기업의 경쟁력이 생산 능력에서 결정됐다면, AI 시대의 경쟁력은 신뢰를 얼마나 빠르게 지킬 수 있는 지에서 결정될 것이다. 고객은 기업이 얼마나 혁신적인지 만이 아니라 자신의 데이터를 얼마나 안전하게 보호하는지도 함께 평가한다. 규제 기관과 투자자 역시 같은 질문을 던지고 있다.

기업들이 AI 전략을 논의할 때 우리는 어떤 모델을 선택할지, 얼마나 많은 업무를 자동화할 지에 집중하는 경우가 많다. 그러나 앞으로 더 중요한 질문은 이 것이다. “우리는 AI를 얼마나 빠르고, 안전하며, 신뢰할 수 있는 방식으로 운영할 수 있는가”

AI 시대에는 이 질문에 대한 답이 곧 기업의 경쟁력이자 생존력이 될 것이다.