北 해커 김수키, AI로 자동공격 노려

북한 해킹 조직 김수키(Kimsuky)가 인공지능(AI)으로 로컬 대규모언어모델(LLM)과 AI 에이전트 등을 구축하며 공격을 자동화하고 있는 것으로 나타났다. 김수키는 북한의 대남·해외 공작을 담당하는 정찰총국 산하 사이버 첩보 조직으로, 2012년 무렵부터 한국·미국 등 각국 정부와 연구소, 언론인 등을 상대로 중요 정보를 빼내기 위한 해킹 공격을 벌여왔다.

사이버 보안 기업 지니언스는 최근 김수키가 공격용 서버에 ‘올라마’(Ollama) ‘GPT4All’ ‘Msty’ 등 로컬 LLM 프로그램을 설치하고 사용한 흔적을 포착했다고 밝혔다. 로컬 LLM은 외부 업체의 서버에 접속하지 않고, 자체 PC나 서버에 AI를 내려받아 구동한다. 해킹으로 훔친 기밀 자료나 공격 정보를 외부에 노출하지 않고 분석할 수 있어 김수키 같은 해킹 조직에 유용하다.

김수키는 AI가 여러 작업을 사람 대신 수행하도록 만드는 에이전트 환경도 구축한 것으로 나타났다. 악성 코드 개발과 탈취 자료 분석, 반복적인 공격 작업을 자동화하는 방안을 연구한 것으로 분석된다.

공격 방식도 정교해지고 있는 것으로 나타났다. 기존에는 훔친 정상 문서를 피싱 미끼로 재활용하거나 AI로 피싱 문구를 작성하는 수준이었다. 하지만 최근에는 AI로 가상 자산 투자 보고서와 금융 자료 등을 실제 문서처럼 제작해 악성 파일 실행을 유도하는 것으로 분석됐다. 이 같은 문서가 정교해지면서 피해자가 가짜 문서임을 구별하기도 어려워졌다는 분석이 나온다. 지니언스는 “김수키 등 위협 행위자가 악성 코드 개발, 데이터 분석, 공격 기법 발전 등 실제 공격 능력에 AI를 통합하기 위해 지속적으로 준비하고 있다”고 설명했다.

박한신 기자 phs@hankyung.com