사이버 범죄 특화 생성AI ‘웜GPT’ 발견, 기업 보안 주의

피싱 비즈니스 이메일 작성, 멀웨어 개발 등 해킹 관련 데이터 집중 학습

사이버 범죄에 특화된 생성AI가 발견됐다. 이를 악용한 스피어피싱 등 사이버 공격이 급증할 것으로 예상되는 만큼 기업과 정부부처의 보안강화가 요구된다.

15일(현지시간) 해커뉴스 등 외신에 따르면 이메일 보안기업인 슬래시넥스트가 사이버범죄 포럼에서 생성AI 범죄도구 '웜GPT'를 발견했다고 밝혔다.

슬래시넥스트에 따르면 웜GPT는 챗GPT와 비슷한 형식의 챗봇으로 개인화된 피싱, 비즈니스 이메일 침해(BEC) 공격 등 사이버 범죄를 쉽게 실행하기 위해 만들어졌다.

사이버범죄용 생성AI 웜GPT(이미지=슬래시넥스트)

분석결과 2021년 개발된 오픈소스 언어 모델 GPTJ를 기반으로 개발됐으며, 다양한 해킹 관련 데이터를 기반으로 학습한 것으로 나타났다. 학습데이터는 멀웨어 관련 내용에 집중한 것으로 확인됐다. 또한 다른 생성AI와 달리 악의적인 요청에 응답하지 못하도록 제한하는 윤리보호 장치 등은 모두 제거돼 있다.

특히 생성AI를 이용해 사람과 거의 비슷한 수준의 비즈니스 이메일 문서를 작성하는 과정 등을 자동화할 수 있는 것이 특징이다.

슬래시 넥스트의 다니엘 켈리 연구원은 “웜GPT가 생성한 이메일은 전문적인 비즈니스 언어를 사용하며 철자나 문법 오류가 없어 피싱 시도를 식별하기 어렵다”고 밝혔다.

웜GPT의 등장으로 진입장벽은 낮아진 반면 공격성공률이 높아져 기업과 정부부처 등의 피해가 우려되고 있다. 번역 기능을 이용해 작성한 문서를 다른 언어로 거의 자연스럽게 전환할 수 있어 글로벌 공격도 더욱 활발해질 전망이다.

다니엘 켈리 연구원은 “AI의 발전이 사이버공격에도 영향을 미친 만큼 기존보다 더욱 강력한 예방 조치가 필요해진 상황”이라며 “우선 AI의 공격에 대비해 광범위하고 정기적으로 업데이트 되는 보안환경을 구축하고, 직원들에게 공격자들이 사용하는 전술을 교육해 항상 보안에 신경을 쓸 수 있도록 해야 한다”고 설명했다.

이어서 “특히 개인 정보를 노린 피싱 공격이 가장 기본이 되는 만큼 내부 경영진이나 비즈니스 관계자를 사칭한 외부 이메일이 도착했을 때 자동으로 경고하는 시스템을 갖추고, ‘긴급’, ‘민감한’ 같은 무의식적으로 메일을 누르게 될 수 있는 특정 키워드가 포함된 메시지는 사전에 분류 후 철저한 검사를 해야 한다”고 강조했다.