[IT동아 김예지 기자] 스스로 시스템의 취약점을 찾아내는 ‘인공지능(AI) 해커’와 세계 최정상 화이트 해커들이 국제 해킹방어대회 ‘코드게이트 2026’에서 24시간 동안 사이버 보안 과제 해결을 두고 대결을 펼쳤다.
과학기술정보통신부가 주최하고 사단법인 코드게이트보안포럼이 주관하는 국제 해킹방어대회& 보안 컨퍼런스 ‘코드게이트 2026’이 7월 23일부터 24일까지 양일간 서울 코엑스에서 개최됐다. 올해 18회를 맞이한 코드게이트는 세계 3대 해킹방어대회 중 하나로, 우수 화이트 해커를 발굴하고 최신 보안기술 동향을 공유하기 위해 개최되는 세계 수준 해커들의 올림픽이다.
스스로 취약점 탐지하는 AI 해커 등장
이번 해킹방어대회 예선에는 88개국 3333명의 화이트 해커들이 참가했다. 현장에는 경쟁을 뚫고 본선에 진출한 8개국 20개팀(일반부)과 3개국 20명(주니어부)이 경연을 펼쳤다. 이번 대회 일반부 우승은 일본의 ‘BunkyoWesterns’ 팀이 차지해 과기정통부 장관상과 상금 5000만 원을 받았다. 주니어부에서는 김준원 군(한국디지털미디어고등학교 3학년)이 과기정통부 장관상과 상금 300만 원을 거머쥐었다.
올해 대회의 최대 관전 포인트는 카이스트(KAIST)와 코드게이트보안포럼이 공동 개발한 AI 해커의 등장이다. 초청 선수로 참가한 AI 해커는 사람의 개입 없이 24시간 동안 자율적으로 문제를 분석하고, 취약점을 탐지했다. 인간 진출자들과 같은 문제를 풀고, 동일한 실시간 순위표에 이름을 올려 실력으로 평가받았다. 지난해와 달리 올해는 참가팀들도 AI 도구를 활용할 수 있었다.
BunkyoWesterns의 후지와라 유다이(Yudai Fujiwara)는 “지난해 4위에 그쳤는데 올해 우승을 하게 되어 자랑스럽다”고 소감을 밝혔다. 그는 AI 해커와 겨룬 경험에 대해 “불과 2~3년 전보다 비교해 AI가 이렇게 빨리 강력해질 줄 몰랐다. 편리하면서도 무서운 기술임을 체감했다”고 말했다. 이어 “다만 AI가 복잡한 난제 앞에서는 한계를 보였고, 인간의 지시 없이 독자적으로 모든 문제를 해결하지는 못했다”고 덧붙였다.
우승팀은 문제에 대해 “완성도가 높았다”고 평가하며, “문제 유형에 따라 AI를 교차 활용했다. 특히 마지막 과제는 AI만으로 방향을 잡기 어려웠고, 사람이 직접 개입해 침투 경로를 모색해야 했다”고 말했다. 마지막으로 “내년에는 또 얼마나 발전해 있을지 기대와 우려가 동시에 든다”고 덧붙였다.
AI 해커 개발을 이끈 윤인수 카이스트 교수는 “AI가 초반의 단순 과제는 빠르게 풀었지만, 후반부의 복잡한 문제에서는 한계를 드러냈다”며, “전문가의 인사이트와 AI의 연산 능력을 결합하면 AI 단독 활용보다 뛰어난 시너지가 나타난다”고 설명했다. 이는 기계적인 속도로 공격하는 AI를 또 다른 AI가 방어하되, 최종 판단과 방향 설정은 인간이 맡는 구조가 향후 사이버 방어의 핵심 패러다임이 될 것임을 보여주는 결과였다.
AI 시대의 핵심, 사이버 보안 인재 양성
이번 행사에서는 해킹방어대회와 동시에 보안 산업 발전을 위한 방안을 모색하는 자리가 마련됐다. 24일 열린 개회식에서 조현숙 코드게이트보안포럼 이사장은 “그동안 AI와 인간의 보안 역량 간 균형이 맞지 않았지만, 인간 화이트 해커와 AI가 함께 겨룬 이번 대회가 인간의 실력과 지혜를 보여주는 이정표가 됐다”고 말했다. 이어 “AI 보안은 기술을 넘어 국가 경쟁력을 좌우하는 핵심 요소이며, 그 중심에 화이트 해커가 있다”면서 “코드게이트는 세계적인 보안 인재 양성에 힘써왔고, 이들의 도전 정신이 신뢰할 수 있는 AI 시대를 뒷받침하는 힘이 될 것”이라고 말했다.
최우혁 과기정통부 정보보호네트워크정책실장은 “대한민국이 AI 3대 강국이 되기 위해 굳건한 사이버 보안이 기본이 되어야 한다”고 강조하며, “더욱 정교해지는 사이버 위협에 선제적으로 대응하기 위해 AI 시대를 이끌어갈 핵심 보안 인재를 양성하겠다”고 밝혔다.
이어 김태수 미국 마이크로소프트 보안 연구 부사장은 미 국방고등연구기획국(DARPA)이 주최한 AI 자동보안 분야 세계최고권위대회 ‘AI 사이버 챌린지(AIxCC)’ 최종 라운드에서 1위를 차지한 전략을 소개했다. 거대언어모델(LLM)과 전통적 프로그램 분석 기법을 결합해 대규모 오픈소스 소프트웨어의 취약점을 자동으로 발견 및 수정한 과정을 공유했다. 그는 “보안 도메인 지식을 갖춘 전문가가 AI를 활용할 때 가장 강력한 시너지를 발휘한다”며, “AI로 취약점을 찾고 수정하는 게 불과 6개월 만에 현실이 됐다. 당장 AI 기반 취약점 탐지 도입을 검토해야 한다”고 주장했다.
전년도에 이어 미국 블랙햇(Black Hat)의 트레이닝 코치팀을 초청해 글로벌 수준의 보안 기술 트레이닝 세션이 진행됐다. 또한 해킹 체험 프로그램, 세계 각국 화이트 해커들을 위한 네트워킹, 코드게이트 해킹방어대회 문제풀이 세션 ‘CTF Write-up’, 포토존, 굿즈샵, VR 게임존 등 참관객들을 위한 현장 콘텐츠들이 운영됐다.
보안 컨퍼런스에서는 ‘체이널리시스(Chainalysis)’의 공동 창업자이자 그라이AI(Gry AI)를 이끄는 마이클 그로내거 대표, 루이스 로우 화웨이 사이버보안 및 개인정보보호 부문 글로벌 커뮤니케이션 총괄, 이상근 고려대학교 정보보호대학원 교수, 손기욱 서울과학기술대학교 교수, 이창선 옵시아 이사, 천준상 김앤장 법률사무소 팀장 등이 보안 트렌드를 공유했다.
정부·산업·학계가 머리 맞댄 ‘AI 보안 오픈토크’
오후에는 국내외 전문가들이 AI 시대 사이버 보안을 주제로 토론을 벌였다. 김용대 카이스트 교수가 좌장을 맡고, 김태수 부사장, 허규 네이버 보안리더, 이종호 토스 보안기술팀 리더, 박세준 티오리 대표, 박용규 한국인터넷진흥원(KISA) 디지털위협대응본부장이 패널로 나섰다.
김태수 MS 부사장은 “산업 현장의 보안 니즈 규모가 예상보다 훨씬 컸다”며, “단순히 가장 뛰어난 모델을 쓰기보다, 비용 대비 최적의 임팩트를 낼 수 있는 시스템 설계가 핵심”이라고 말했다. 이어 박세준 대표는 “한정된 토큰 내에서 효율적으로 취약점을 찾는 연구를 진행 중”이라며, “특정 모델에 대한 수출 통제 가능성도 고려해, 장기적으로 로컬 모델을 보안 특화로 개조하거나 여러 모델을 조합하는 오케스트레이션 기술로 최고 수준의 성능을 내는 방향을 모색하고 있다”고 말했다.
허규 네이버 보안리더는 “조직 차원에서 AI 공격 도구를 기반으로 취약점에 대비하고 있다”며, “이를 조직의 성장 기회로 보고 있다”이라고 밝혔다. 이종호 리더는 “AI 시대의 본질은 기술의 실행 비용이 획기적으로 낮아진 점”이라며, “개별 시스템 자체보다 이기종 시스템 간 연동 접합부에서 발생하는 보안 허점에 집중할 것”이라고 전망했다.
마지막으로 박용규 본부장은 “시중의 좋은 AI 모델을 발굴·전파하는 것이 첫 번째 미션이나, 최근 AI 도입으로 인해 실력 향상의 주체가 AI인지 인간인지 경계가 모호해졌다”면서 “AI를 조직의 도구이자 자산으로 정착시키는 데 초점을 두고, 올해 누구나 접근 가능한 보안 적용 사례를 만드는 데 집중하고 있다”고 덧붙였다.
IT동아 김예지 기자 (yj@itdonga.com)
