[SNS 타임즈- LA] 인공지능이 수돗물을 정수하고 전기를 보내는 산업 시설을 공격하기 위한 '작전 계획'까지 짜는 수준으로 발전하고 있다는 연구 결과가 나왔다.

미국 온라인 매체 악시오스(Axios)는 현지시간 21일 산업 보안 전문업체 프레노스(Frenos)가 AI 모델 10종을 대상으로 산업 시스템 공격 계획 수립 능력을 시험한 결과를 보도했다.

시험 대상에는 정수 처리 과정을 감시하는 소프트웨어 같은 산업용 시스템이 포함됐다.

연구진은 모델에 잠재적 표적에 관한 정보를 제공한 뒤 특정 목표에 도달하기 위한 단계를 조합하도록 했다. 전체 시험은 약 1만7000회였고, 이 가운데 2520회는 완결된 공격 계획을 만들어내는 시도였다.

결과에 따르면 10개 모델 가운데 3개는 시도의 약 90%에서 공격 계획을 만들어냈다.

연구진이 '프런티어(최첨단)' 수준으로 분류한 3개 모델의 성공률은 17.9~31.9%였다.

누구나 내려받아 직접 실행하고 고칠 수 있도록 모델의 내부 설정값(가중치)을 공개한 이른바 '오픈웨이트' 모델 가운데서는, 미국 외 국가에서 개발된 모델 중 가장 성능이 높은 모델이 36.2%, 미국 모델 중 가장 높은 모델이 5.2%의 성공률을 보였다.

프레노스는 시험한 모델의 구체적인 이름은 공개하지 않았다.

프레노스는 고객사의 운영기술 네트워크를 가상공간에 그대로 복제한 '디지털 트윈'을 만들고, 그 안에서 AI가 공격자의 이동 경로를 모의하는 방식의 보안 점검 플랫폼을 개발하는 회사다.

운영기술이란 문서 작업이나 이메일을 처리하는 사무용 전산망과 달리, 밸브·펌프·발전기 같은 물리적 설비를 실제로 움직이고 감시하는 하드웨어와 소프트웨어를 말한다.

이 회사의 공동창업자이자 최고기술책임자(CTO)인 해리 토머스는 산업 네트워크에 침투한 공격자가 AI의 도움을 받으면 사람 해커가 겪는 시간 제약 없이 조용히 시스템 구조를 파악하고 약점을 찾을 수 있다며 "AI에게는 인내심의 문제가 없다"고 말했다.

보안업체 아르마딘(Armadin)의 운영기술 책임자 폴 셰이버도 AI 에이전트가 이미 보안 경보를 울리지 않고도 정찰과 대량의 데이터 분석을 수행할 수 있다고 지적했다.

연구진은 이번 결과가 오히려 AI의 능력을 낮게 잡았을 수 있다고 본다.

토머스 CTO는 이번 시험이 비교적 단순한 환경에서 진행됐다며 "더 뛰어난 하네스였다면 AI 모델에 더 큰 우위를 줬을 것"이라고 말했다.

하네스(harness)란 AI 모델에 도구와 맥락, 중간 결과에 대한 피드백을 제공해 작업을 이어가도록 돕는 일종의 작업 틀을 뜻한다.

산업 시설이 특히 취약한 이유는 구조적이다.

정수장과 제조 공장은 오랫동안 국가 배후 해커와 사이버 범죄자의 표적이 돼왔지만, 상당수 운영사는 인력과 예산이 부족하다. 시스템을 시험하거나 교체하는 과정 자체가 필수 서비스 중단으로 이어질 위험도 있다. 산업 시스템은 예상치 못한 통신이나 명령에 민감하게 반응하기 때문에, 공격이 실패하더라도 운영이 흔들릴 수 있다.

미국 전력회사 아메리칸일렉트릭파워(AEP)에서 보안 고위 임원을 지낸 스티브 스윅은 "시계가 그 어느 때보다 빠르게 움직이고 있다"고 경고했다.

실험실 밖에서도 비슷한 사례가 이미 보고됐다.

산업보안 전문업체 드라고스(Dragos)에 따르면 2026년 1월 멕시코 몬테레이 대도시권에 물을 공급하는 시영 상하수도 기관의 사무 전산망이 침해됐다. 공격자는 앤트로픽의 클로드(Claude)를 주된 기술 실행 도구로, 오픈AI의 GPT 모델을 수집 자료 분석 도구로 활용했다.

클로드는 사내망에서 산업용 게이트웨이와 SCADA(원격 감시·제어 시스템) 관리 플랫폼이 설치된 서버를 찾아내 전략적 표적으로 판단했고, 비밀번호 후보 목록을 만들어 여러 계정에 흔히 쓰이는 비밀번호를 차례로 대입하는 '패스워드 스프레이' 공격을 자동으로 실행했다.

다만 이 시도는 실패했고, 드라고스는 공격자가 운영기술 환경까지 뚫었다는 증거는 확인되지 않았다고 밝혔다. 경제협력개발기구(OECD)도 이 사건을 AI 사고 모니터에 등재했다.

드라고스는 이 사건에 쓰인 기법이 새로운 산업제어시스템 전용 공격이 아니라 이미 공개된 공격 방법이었다고 분석했다. 그러나 AI가 네트워크를 파악하고 운영기술과 맞닿은 설비를 찾아내는 데 걸리는 시간을 압축해, 방어자가 대응할 수 있는 시간을 줄였다고 짚었다.

미국 정부도 경고 수위를 높이고 있다.

미국 사이버보안·인프라보안청(CISA)은 국가안보국(NSA), 연방수사국(FBI), 에너지부, 환경보호청(EPA)과 함께 2026년 8월 18일 발표한 합동 권고문(AA26-231A)에서, 공격자들이 AI의 도움을 받아 만든 공격 스크립트로 인터넷에 노출된 지멘스 S7 계열 PLC를 노리고 있다고 밝혔다.

PLC(프로그래머블 로직 컨트롤러)는 공장과 정수장에서 모터·밸브 등을 정해진 순서대로 제어하는 산업용 소형 컴퓨터다.

권고문은 AI를 활용한 개발이 산업제어시스템 공격 도구를 만드는 데 필요한 전문성과 시간을 "극적으로" 낮춘다고 평가했다.

악시오스는 앞서 이 장치가 미국 수도 시스템을 겨냥한 일련의 공격에서 핵심 역할을 했으며, 일부 지역에서는 수압이 영향을 받아 예방 차원의 '끓여 마시기' 권고가 내려졌다고 보도했다.

미국 컨설팅 기업 부즈앨런해밀턴의 실험 결과도 같은 방향을 가리킨다.

클라우드보안연맹(CSA)이 정리한 내용에 따르면 부즈앨런은 제조 공장을 본뜬 격리된 운영기술 실험실에서 이름을 밝히지 않은 프런티어 AI 모델 2종을 시험했고, 두 모델 모두 설정된 8개 목표를 모두 달성했다.

한 시험에서는 외곽 방어망 침투부터 산업제어 네트워크 내부 조작까지 16분 남짓이 걸렸다.

다만 이 실험에서는 물리적 결과를 낳는 행위에 사람의 승인이 필요했고, CSA는 이를 업체가 단일 실험실에서 얻은 결과로, 실제 현장에서 자율 공격이 벌어졌다는 증거는 아니라고 선을 그었다.

악시오스는 이 같은 위협에 대응해 최근 백악관과 프런티어 AI 기업, 사이버보안 단체들이 핵심 기반시설 운영사의 비용 부담을 줄이고 자원을 제공하려는 여러 구상을 내놓았다고 전했다.

보안업체 다크트레이스의 마거릿 커닝햄 부사장은 AI가 공격자에게 속도와 범위를 더해주지만, 인터넷에 노출된 운영기술이나 패치(보안 업데이트) 적용의 어려움 같은 오래된 문제를 없애주는 것은 아니라고 말했다.

- Copyright, SNS 타임즈 www.snstimes.kr