[단독] AI으로 AI해킹 막겠다지만…정상 코드조차 ‘위험’ 판단

금융 > 금융정책 해킹 대란 [단독] AI으로 AI해킹 막겠다지만…정상 코드조차 ‘위험’ 판단 업데이트 : 2026.10.19 16:50 닫기 금보원, 금융사 AI보안 점검 오탐률은 약 40~60% 달해 금융회사들이 보안 취약점을 찾기 위해 도입한 인공지능(AI)이 10건 중 4~6건의 정상적인 프로그램 코드도 보안상 위험이 있는 것으로 잘못 판단하는 사례가 다수 확인됐다. AI 기반 보안시스템이 방대한 소스코드를 빠르게 분석하는 데는 강점을 보였지만, 오탐을 걸러내기 위한 사람의 검증은 여전히 필요한 것으로 나타났다.이억원 금융위원장이 최근 금융권 AI 해킹 사태의 대응책으로 ‘AI 공격은 AI로 방어하는 보안체계’를 강조했지만, 실제 보안 현장에 안착하기까지는 해결해야 할 과제가 적지 않다는 지적이 나온다.19일 국회 정무위원회 소속 김형연 조국혁신당 의원이 금융보안원에서 제출받은 자료에 따르면, 금융보안원이 망 분리 규제 완화 대상 금융회사를 상대로 실시한 AI 보안 테스트에서 AI가 코드의 작동 맥락을 제대로 파악하지 못해 정상 코드를 보안 취약점으로 잘못 판단하는 사례가 다수 발견됐다.이번 테스트는 금융서비스를 구성하는 프로그램의 소스코드를 AI로 분석해 보안 취약점을 찾아내는 방식으로 진행됐다. 신한은행·하나은행·우리은행 등을 포함해 보안 목적의 AI 활용을 위해 망 분리 규제를 한시적으로 완화받은 1차 선정 금융회사 10곳이 지난달 점검 대상에 포함됐다.점검 결과 AI가 정상 코드를 보안 취약점으로 잘못 지목하는 오탐이 발생했으며, 오탐률은 40~60%에 달했다. 주요 원인은 AI가 프로그램 전체의 작동 구조와 데이터 흐름을 충분히 이해하지 못한 채 코드 일부만 보고 판단한 데 있었다.예를 들어 프로그램 내부에 고정돼 외부에서 변경할 수 없는 값인데도 공격자가 이를 조작할 수 있다고 오인하는 식이다. 해당 값이 어디에서 생성되고 어떤 경로로 전달되는지 전체 흐름을 추적하지 못하면서 잘못된 경고가 나온 것이다.이미 적용된 보안장치를 제대로 반영하지 못한 사례도 확인됐다. 분석 대상 코드 외부에서 이용자 신원을 확인하거나 위험한 입력값을 걸러내고 있는데도, AI가 이러한 보안 절차를 고려하지 못해 인증 우회가 가능하다고 판단한 경우다. 개별 코드만으로는 취약점처럼 보이더라도 프로그램 전체 구조와 기존 보안장치까지 고려하면 실제 공격으로 이어지지 않을 수 있다는 의미다.오탐이 많아지면 보안 담당자와...