13년 만에 금융권의 망분리 규제가 완화되면서 인공지능(AI)을 활용한 보안 취약점 점검이 본격화하고 있다. 수천만 줄에 달하는 소스코드를 AI가 단시간에 분석하면서 기존 모의해킹으로 발견하지 못했던 '숨은 취약점'까지 찾아내고 있다.
다만 발견한 취약점을 실제로 조치(패치 등)하는 과정에서 전산장애가 발생할 수 있어 보안 강화와 서비스 안정성 사이의 균형을 맞추는 것이 망분리 완화의 새로운 과제로 떠올랐다.
AI가 '보이지 않던 구멍' 찾았다
9일 금융당국과 금융권에 따르면 1차 망분리 규제 완화 대상 10개 금융사가 AI를 활용해 소스코드를 분석한 결과, 기존 모의해킹 등 외부 공격 방식으로는 확인하기 어려웠던 취약점이 발견됐다.
모의해킹은 외부에서 금융회사 시스템에 침투해 실제 공격이 가능한지를 확인하는 방식이다. 방화벽이나 침입방지시스템 등 여러 보안장치를 우회하지 못하면 소스코드 내부에 취약점이 있더라도 발견하기 어렵다.
반면 AI를 활용한 소스코드 분석은 프로그램 내부의 취약한 함수 등을 찾아내고 이를 분석해 어떤 유형의 취약점인지 판단할 수 있다. 개인정보 유출로 이어질 수 있는 취약점이나 사용중인 암호화 알고리즘의 문제점 등도 확인할 수 있다.
특히 보안 담당자의 경험이나 역량에 따른 편차를 줄이면서 취약점을 신속하게 찾아낼 수 있다는 점이 강점으로 꼽힌다.
일부 금융사에서는 위험성 있는 취약점도 발견됐지만, 앞단의 방화벽이나 침입방지시스템 등 방어체계를 갖추고 있어 현재 실제 해킹으로 이어질 가능성은 낮다는 게 금융보안원의 설명이다.
금융보안원 관계자는 "실제 공격으로 이어질 수 있는 취약점은 거의 없지만 AI를 활용한 공격이 기존 보안대책을 우회할 가능성에 대비해 소스코드 단계에서 취약점을 미리 조치하는 것이 효과적"이라고 설명했다.
패치로 인한 전산 장애 등 소비자 피해 우려도
AI가 취약점을 빠르게 찾아낼 수 있게 된 만큼 이를 얼마나 신속하고 안전하게 패치할 수 있는지가 관건이다. 문제는 취약점을 조치하는 과정에서 발생할 수 있는 전산장애다.
취약점은 대부분 조치할 수 있지만 패치 과정에서 서비스 안정성이 저하될 가능성이 있다. 특히 금융회사의 핵심 서버에 보안 패치를 적용했다가 프로그램 간 충돌이나 오류가 발생할 경우 인터넷뱅킹 등 대고객 서비스 장애로 이어질 수 있다.
금보원 관계자는 "조치가 불가능한 취약점은 거의 없지만 조치 과정에서 서비스 안정성을 저해할 수 있는 상황이 있을 수 있다"며 "패치 전 충분한 테스트가 필요하다"고 말했다. 서버 중단으로 이어질 수 있는 만큼 중요도가 높은 금융서비스일수록 패치에 신중할 수밖에 없다는 설명이다.
금융당국이 지난 7월 보안 취약점에 대한 신속한 조치를 유도하기 위해 AI 보안테스트나 긴급 보안 패치 과정에서 발생하는 경미한 전산장애에 대한 면책 장치를 마련한 것도 이런 배경에서다.
다만 사전 테스트와 영향 분석, 복구 계획, 소비자 보호 등의 요건을 충족해야 해 금융회사 입장에서는 여전히 부담이 있다는 지적이 나온다.
A 금융사 관계자는 "장애 규모를 사전에 정확하게 예측하기 어려운 상황에서 패치로 문제가 발생할 경우를 우려해 보수적으로 접근할 수밖에 없다"라며 "긴급한 취약점이라도 패치 시기를 늦추는 요인이 될 수 있는 만큼 기업 규모와 업무 특성을 고려한 탄력적인 기준이 필요하다"고 말했다.
AI가 찾아낸 취약점을 모두 같은 수준으로 대응하기 어렵다는 점도 문제다. 실제 공격으로 이어질 가능성과 예상되는 피해 등을 따져 조치 순서를 정해야 하기 때문이다. B 금융사 관계자는 "AI가 많은 취약점을 제시하더라도 모든 취약점의 위험도가 동일한 것은 아니다"라며 "보안 리스크와 서비스 안정성을 함께 고려해 우선순위를 판단해야 하는 부담이 커질 수 있다"고 말했다.
업계에서는 보안패치에 대한 표준화된 가이드라인과 사전 검증 환경이 필요하다는 목소리도 나온다. 금융보안원 등을 중심으로 실제 운영환경에 적용하기 전 패치 영향을 점검할 수 있는 공동 검증 환경을 마련하고, 긴급 취약점에 대해서는 승인 절차를 간소화할 필요가 있다는 것이다.
C 금융사 관계자는 "과거에 비해 AI를 활용한 침해·해킹 시도 주기가 짧아지면서 취약점을 찾아 패치하고 테스트하는 사이 새로운 취약점이나 공격이 다시 나타날 수 있다"며 "충분한 면책 범위와 테스트, 검증 시간 확보를 위한 기준과 절차가 필요하다"고 말했다.
2금융·전금업자까지 망분리 완화…보안 역량 우려도
망분리 완화 대상이 2금융권과 전자금융업자 등으로 확대되면서 보안 인프라 격차에 대한 우려도 커지고 있다.
금융위는 2차 망분리 규제 완화 테스트 신청 대상을 기존 49개사에서 75개사로 확대하고, 선정 규모도 10개사에서 15개사 이내로 늘리기로 했다. 자산규모, 종업원 수 등 신청 기준도 완화하고 전자금융업도 대상에 포함해 별도 기준을 적용받도록 했다. ▷관련기사: 금융위, 15개 금융사 망분리 추가 완화…전자금융업자도 가능(2026년 9월3일)
금융보안원은 망분리 완화 이후에도 기존 수준의 보안을 유지하려면 '제로트러스트' 등 추가적인 보안 인프라 구축이 필요하다고 보고 있다.
하지만 이를 구축하려면 상당한 비용과 시간이 들기 때문에 금융권 전반적으로 관련 인프라가 충분히 갖춰진 상황은 아니라는 분석이다.
특히 중소형 금융회사와 전금업자는 대형 금융사에 비해 보안 인프라와 전문인력 확보 여력이 부족할 수 있어 규모와 여건을 고려한 지원 방안이 필요하다는 지적도 나온다.
D 금융사 관계자는 "망분리 완화와 고성능 AI 등장에 대응하기 위해서는 솔루션이나 인프라 구축 비용뿐 아니라 이를 운영할 전문인력 확보도 필요하다"며 "규모가 작거나 투자 여력이 낮은 금융회사를 대상으로 정보보호 활동을 지원할 수 있는 방안도 마련될 필요가 있다"고 말했다.
