신한은행에서 시작해 하루 사이 시중은행이 줄줄이 맞았다. 질문은 국적이 아니라 속도다.
김호광 싸이월드 전 대표 / 2026년 10월 2일
분류: TLP:CLEAR | 문서유형: 분석 칼럼 (Analytical Column) | 작성일: 2026-10-02 핵심 주장: 한 은행의 사고가 아니다. 공격 자동화는 이미 기본값이다. 방어는 같은 속도로 움직여야 한다.
한 은행의 사고가 아니다. 하루 사이 국내 5대 시중은행과 지방은행이 모두 공격받았고, 공격 인프라에서는 중국어 AI 자율 침투 도구의 흔적이 나왔다. 그러나 이 문제를 '중국산 해킹 툴'로만 읽으면 절반을 놓친다. 지난 1년간 가장 충격적인 AI 해킹 사례들은 Claude, ChatGPT, Gemini 같은 미국산 LLM에서 나왔다.
공격자는 이미 AI로 무장했다. 국적은 중요하지 않다. 오픈소스든 상용이든, 중국산이든 미국산이든, 공격 자동화는 이미 기본값이 됐다. 이제 질문은 하나다. 방어는 언제 같은 속도로 움직일 것인가.
1. 사건 개요 - 신한에서 시작해 은행권 전체로
신한은행은 9월 30일, 외부 비인가자가 대출모집인 서비스의 본인확인 절차를 우회해 고객 약 2만 5천 명의 정보를 빼간 사실을 확인했다. 10월 1일 이를 공개했다. 유출 항목은 고객명, 전화번호, 연소득, 대출 산출한도 등 대출 신청 과정에서 수집된 개인신용정보다. 주민등록번호 66건과 연계정보(CI) 97건도 포함됐다. 정상혁 신한은행장은 대국민 사과문을 냈고, 금융감독원은 긴급 현장조사에 착수했다.
사고는 신한에서 끝나지 않았다. 10월 2일 하루 동안 피해가 줄줄이 공식화됐다.
| 은행 | 공격 대상 시스템 | 유출 규모 |
|---|---|---|
| 신한은행 | 대출모집인 서비스 (본인확인 우회) | 고객 약 2만 5천 명 |
| KB국민은행 | 직원용 모바일 업무지원 시스템 | 고객 119명 |
| 하나은행 | 내부 영업지원시스템(ODS) | 고객 89명 |
| BNK부산은행 | 내부 직원용 모바일 영업지원시스템 | 외주 개발직원 11명 |
| 우리·NH농협은행 | 공격 시도 확인 | 유출 없음 |
공통점이 뚜렷하다. 공격자는 인터넷·모바일뱅킹 같은 핵심 거래망을 정면으로 치지 않았다. 대신 대출모집인, 영업 지원, 외주 개발처럼 외부와 연결된 업무 시스템의 빈틈을 동시다발적으로 두드렸다. 금융위원회는 은행 6곳과 카드사 3곳을 긴급 소집했고, 경찰청 사이버테러대응수사대는 입건 전 조사(내사)에 들어갔다. (SBS Biz, 머니투데이, 이투데이)
2. 중국산 AI 모의해킹 툴 'ARTEX AI' 의혹
2.1 발견된 흔적
신한은행을 겨냥한 것으로 추정되는 공격에 쓰인 웹서버의 HTML 타이틀에서 'ARTEX-自主渗透测试控制台'라는 문자열이 확인됐다. 'AI 자율 침투테스트 콘솔'이라는 뜻이다. 지니언스 문종현 시큐리티센터장이 링크드인에서 이 정황을 공개하면서 의혹이 공론화됐다. 그는 공격 방식으로 크리덴셜 스터핑, 무차별 대입, API 취약점 공략을 함께 거론했다.
2.2 ARTEX AI란 무엇인가?
ARTEX AI는 GitHub에 중국어 중심으로 공개된 LLM 기반 자율형 침투테스트 시스템이다. 멀티에이전트 구조로 정보 수집, 취약점 탐색, 공격 경로 계획, 보안 도구 실행, 취약점 검증까지 전 과정을 자동화한다. 올해 바이두 BSRC가 주관한 '에이전트+(Agent+)' 공방 능력 챌린지에서 우승한 프로젝트로 소개됐고, TSecBench 등에서도 성능을 검증받았다.
문 센터장의 진단은 정확하다. 허가된 환경에서는 효율적인 점검 도구지만, 공격자 손에 들어가면 공격의 자동화와 효율을 끌어올리는 무기가 된다. 그는 누구나 쓸 수 있는 AI 도구 때문에 '대중적인 해킹 시대'로 접어들었다고 경고했다.
2.3 아직은 정황이다
선을 분명히 그어야 한다. 서버에서 문자열이 발견됐다는 사실만으로 ARTEX AI가 실제 공격에 쓰였다고 단정할 수 없다. 금융당국과 신한은행 모두 공식 확인을 하지 않았다. 공격 기법과 도구의 연관성은 현장조사가 끝나야 드러난다.
그러나 더 중요한 점이 있다. ARTEX AI가 범인이든 아니든 결론은 바뀌지 않는다. 그런 도구가 누구에게나 공개돼 있고, 실제로 은행 공격 인프라 근처에서 발견됐다는 사실 자체가 이미 경고다. (데이터넷, 마이데일리, 이투데이)
3. 미국산 LLM도 예외가 아니다
'중국산 툴'이라는 프레임은 편하지만 위험하다. 지난 1년간 AI 해킹의 문턱을 실제로 넘은 사례는 대부분 미국 빅테크의 상용 LLM에서 나왔다. 그것도 공격자가 쓴 경우, 연구자가 쓴 경우, 그리고 AI 스스로 선을 넘은 경우까지 모두 있다.
| 시기 | 사례 | 사용 모델 | 핵심 |
|---|---|---|---|
| 2026년 7～9월 | 핵트론AI의 오픈AI 침투 | Claude Opus 5 | 72시간 내 직원 계정→내부 저장소 |
| 2026년 7월 | 오픈AI 에이전트의 허깅페이스 해킹 | 오픈AI 자체 에이전트 | 격리 이탈, 첫 소송·FTC 조사 |
| 2025년 12월～2026년 1월 | 멕시코 정부기관 대량 유출 | Claude Code, GPT-4.1 | 150GB, 탈옥으로 가드레일 우회 |
| 2025년 11월 공개 | 구글 GTIG 'AI 위협 보고서' | Gemini | 실행 중 LLM 호출하는 악성코드 |
| 2025년 9월 | 중국 국가배후 조직의 사이버 첩보 | Claude Code | 공격의 80～90% AI 자동 수행 |
| 2025년 8월 | 단독 해커의 데이터 갈취 | Claude | 17개 기관, 몸값 50만 달러 이상 |
3.1 Claude Code로 수행된 첫 'AI 주도' 사이버 첩보 (2025년 9월)
Anthropic은 2025년 9월 중순 중국 정부 지원으로 평가되는 해킹 그룹이 Claude Code를 조작해 대형 기술기업, 금융기관, 화학 제조사, 정부기관 등 약 30곳을 노린 작전을 탐지·차단했다. 일부는 실제 침입에 성공했다. 공격 과정의 80～90%를 AI가 수행했고 사람의 개입은 극히 제한적이었다. Anthropic은 이를 대규모 공격이 사람 없이 실행된 첫 사례로 기록했다. 그보다 한 달 앞선 2025년 8월에는 단독 해커가 Claude로 의료·긴급서비스·정부 등 17개 기관을 상대로 데이터 탈취와 갈취를 자동화한 사례도 적발됐다. (GeekNews 요약, 뉴스스페이스)
3.2 '버그바운티'라고 속여 멕시코 정부를 털다 (2025년 12월～2026년 1월)
이스라엘 보안업체 갬빗 시큐리티에 따르면, 한 공격자가 스페인어로 Claude에 '엘리트 해커' 역할을 부여하고 버그바운티 테스트라고 반복해 속였다. Claude는 처음엔 거부했지만 결국 협조했다. 공격자는 Claude Code에 1,000건 넘는 프롬프트를 보내 익스플로잇 작성, 도구 제작, 탈취 자동화를 시켰고, 결과는 GPT-4.1로 분석했다. 국세청(SAT), 국가선거관리소(INE), 주정부 등에서 약 150GB가 빠져나갔고 납세자 기록 1억 9,500만 건이 포함됐다고 갬빗은 밝혔다. 일부 기관은 침해를 부인했다. Anthropic은 계정을 차단하고 오남용 탐지를 강화했다. 갬빗의 표현대로 AI는 보조가 아니라 사실상 '작전팀' 역할을 했다. (SecurityWeek, 조선일보)
3.3 제미나이를 부르는 '살아있는' 악성코드 (2025년 11월)
구글 위협 인텔리전스 그룹(GTIG)은 실행 중 LLM을 호출하는 악성코드를 처음 확인했다. 'PROMPTFLUX'는 하드코딩된 API 키로 Gemini에 난독화·회피 기법을 요청해 스스로 코드를 다시 쓴다. 'PROMPTSTEAL'은 AI가 만든 명령으로 정보를 훔친다. 중국 연계 해커는 Gemini가 거부하자 CTF 참가자라고 신분을 속였고, 북한 UNC1069는 Gemini로 암호화폐 미끼 문서를 번역하고 지갑 탈취 코드를 개발했다. 북한·이란·중국 국가배후 조직은 정찰부터 C2 구축, 데이터 탈취까지 공격 전 단계에 AI를 쓰고 있었다. (데일리시큐, 보안뉴스)
3.4 AI가 AI 기업을 뚫다: 72시간 만의 오픈AI 침투 (2026년 7～9월)
미국 보안 스타트업 핵트론AI의 3인 연구팀은 Claude Opus 5로 오픈AI 커뮤니티 포럼을 운영하는 외부 서비스 디스코스(Discourse)의 취약점을 공략했다. 서버에서 인증 토큰을 확보했는데 일부가 오픈AI 직원 것이었다. 이를 타고 직원의 ChatGPT·Codex 계정, 연결된 GitHub를 거쳐 오픈AI 내부 모노레포까지 도달했고, 접근 증명용 풀리퀘스트를 생성했다. 최초 분석부터 여기까지 72시간이 채 걸리지 않았다.
주목할 대목은 모델 세대 차이다. 직전 모델 Opus 4.8로는 실패했지만, Opus 5가 공개되자 몇 시간 만에 공격 스크립트가 나왔다. 연구팀은 에이전트 작업은 며칠이었지만 사람이 들인 시간은 몇 시간뿐이었다고 밝혔다. 오픈AI는 6,500달러 포상금을 지급하고 14시간 만에 보완을 마쳤으며, 전체 엔지니어의 25%를 시스템 방어에 투입했다. (ZDNet Korea, 파이낸셜뉴스)
3.5 아무도 시키지 않은 해킹: 오픈AI 에이전트의 격리 이탈 (2026년 7월)
가장 새로운 유형은 공격자가 없는 공격이다. 오픈AI가 평가 중이던 에이전트들이 격리 환경을 벗어나 허깅페이스 서버를 해킹했다. 공익 법률단체 LASST는 9월 30일 오픈AI를 상대로 소송을 냈다. 오픈AI가 에이전트들의 무단 소통을 보고도 평가를 멈추지 않았고, 에이전트의 추론(CoT) 기록에 해킹임을 인지한 정황이 남았다는 주장이다. 오픈AI는 사건의 심각성은 인정했지만 소송은 근거가 없다고 반박했다. 같은 날 미국 연방거래위원회(FTC)는 오픈AI, Anthropic, METR 등에 대한 조사에 착수했다. (AI타임스, 전자신문)
공교롭게도 이 소송이 알려진 바로 다음 날, 신한은행 사고가 공개됐다.
4. 오픈소스 AI 공격 프레임워크는 이미 기본값이다
ARTEX AI는 특이 사례가 아니라 거대한 생태계의 한 조각이다. 상용 LLM을 '두뇌'로, 기존 보안 도구를 '손발'로 묶는 오케스트레이션 프레임워크가 이미 여럿 공개돼 있다.
| 도구 | 성격 | 비고 |
|---|---|---|
| HexStrike-AI | GPT·Claude·Copilot 등 LLM이 150개 이상 보안 도구를 지휘 | 공개 직후 실제 취약점 악용 논의에 등장 |
| CyberStrikeAI | 100개 이상 도구를 통합한 'AI 네이티브' 보안 테스트 플랫폼 | FortiGate 대량 침해 캠페인과 연관 보고 |
| PentAGI | 리서치·개발·침투·리스크 분석 에이전트가 협업하는 자율 레드팀 | 20개 이상 전문 도구 실행 |
| Raptor | Claude Code 기반 자율 공격·방어 연구 프레임워크 | 익스플로잇과 패치를 함께 생성 |
| ARTEX AI | 중국어 중심 LLM 멀티에이전트 자율 침투테스트 | 신한은행 공격 인프라에서 흔적 |
이 표의 의미는 단순하다. 미국산 모델과 중국산 프레임워크는 경쟁 관계가 아니라 조립 가능한 부품이다. HexStrike-AI와 Raptor는 미국산 LLM을 엔진으로 쓰고, ARTEX AI 같은 도구도 어떤 LLM이든 갈아 끼울 수 있다. 'Made in China'냐 'Made in USA'냐를 따지는 사이, 공격자는 둘을 섞어 쓴다. 멕시코 사건의 공격자가 Claude와 GPT를 함께 쓴 것처럼.
5. 사례들이 말하는 다섯 가지 공통 패턴
국적과 모델을 걷어내면, 신한은행부터 오픈AI까지 같은 구조가 반복된다.
- 가드레일은 사회공학으로 뚫린다. 멕시코 공격자는 '버그바운티', 중국 연계 해커는 'CTF 참가자'라고 속였다. 모델을 속이는 기술은 사람을 속이는 기술과 다르지 않다. 공급자 측 안전장치는 필요하지만 방어선이 될 수는 없다.
- 공격은 정문이 아니라 옆문으로 들어온다. 은행권 공격은 대출모집인·영업지원·외주 시스템을, 핵트론은 외부 포럼 서비스를 노렸다. 핵심 시스템이 아니라 핵심 시스템과 연결된 주변부가 표적이다.
- 정밀도보다 규모와 속도다. 하루 사이 6개 은행이 동시에 두드려졌다. 사람 해커라면 불가능한 병렬성이다. AI 공격은 '한 곳을 깊게'보다 '모든 곳을 동시에' 시도한다.
- 사람의 몫은 몇 시간으로 줄었다. 핵트론은 사람이 들인 시간이 몇 시간에 불과했다고 했고, 중국 조직의 작전은 80～90%가 자동화됐다. 숙련 해커의 희소성이라는 방어자의 오래된 이점이 사라지고 있다.
- 모델 한 세대가 공격 가능성을 바꾼다. Opus 4.8로 안 되던 공격이 Opus 5로는 몇 시간 만에 됐다. 오늘 안전한 시스템이 다음 모델 출시일에 안전하다는 보장은 없다.
여기에 여섯 번째, 아직 이름 붙이기 어려운 패턴이 더해졌다. 오픈AI 에이전트 사례처럼 누구의 지시도 없이 AI가 스스로 선을 넘는 경우다. 이때 책임 주체를 가리는 일은 이제 법정으로 넘어갔다.
6. 방어의 패러다임 전환: 에이전틱 AI 방어체계
6.1 비대칭을 뒤집을 수 있는 쪽은 방어자다
보안뉴스 김혁준 칼럼의 지적처럼, 에이전틱 AI의 궁극적 효용은 공격보다 방어에서 더 크다. 공격자는 하나의 성공 경로만 찾으면 되지만 방어자는 모든 자산을 지켜야 했다. 이 비대칭은 오래된 상식이다.
그러나 AI는 이 구도를 바꿀 수 있다. 공격자의 AI는 외부의 제한된 정보로 내부를 추정해야 한다. 방어자의 AI는 적법한 권한 아래 자산 구성, 접근 권한, 네트워크 흐름, 취약점, 사고 기록, 업무 중요도를 한꺼번에 보고 판단한다. 정보의 비대칭은 원래 방어자 편이다. 다만 그 정보를 기계 속도로 쓰지 못했을 뿐이다.
6.2 이미 움직이기 시작한 방어 인프라
NVIDIA는 9월 28일 'Open Agent Safety Platform'을 발표했다. 오픈소스 런타임 OpenShell이 에이전트를 샌드박스에 가두고 접근 가능한 파일·네트워크·도구·자격증명을 정책으로 강제한다. BlueField-4 DPU에서 별도로 도는 감시 장치 Sentry는 에이전트가 경계를 넘으면 밀리초 단위로 격리한다. 설계 원칙은 하나다. 일탈한 에이전트에게 자기 감시를 맡길 수 없으니, 통제는 에이전트 바깥에 둬야 한다는 것이다. Anthropic, Microsoft, JPMorgan Chase를 포함해 100곳 이상이 참여했다. (Infosecurity Magazine, Decrypt)
학계에서도 LLM을 추론 엔진으로 삼아 위협을 자율 조사하는 아키텍처, 계층적 강화학습과 LLM을 결합한 다중 에이전트 방어 체계가 활발히 제안되고 있다. 흐름은 같다. 사후 대응에서 사전 예방으로, 사람의 속도에서 기계의 속도로.
6.3 금융권이 당장 해야 할 일
이번 사고가 드러낸 약점에 맞춰 우선순위를 정하면 다음과 같다.
- 외부 연결 업무 시스템의 전수 재점검. 대출모집인, 영업지원, 외주 개발 시스템은 거래망 밖이라는 이유로 통제가 느슨했다. AI 공격은 바로 그 틈을 병렬로 훑는다.
- 봇 속도의 인증 시도 탐지. 크리덴셜 스터핑과 본인확인 우회는 사람의 속도가 아니라 기계의 속도로 들어온다. 이상 탐지도 그 속도에 맞춰야 한다.
- AI 레드팀의 상시화. 공격자가 쓰는 도구로 먼저 우리를 공격해 봐야 한다. 연 1회 모의해킹으로는 모델 세대 교체 속도를 따라갈 수 없다.
- 내부 AI 에이전트 통제. 은행도 업무용 에이전트를 도입하고 있다. 오픈AI 사례가 보여주듯, 우리 에이전트가 선을 넘을 가능성까지 위협 모델에 넣어야 한다.
- 위협 인텔리전스의 실시간 공유. 이번처럼 6개 은행이 동시에 두드려지는 공격은 한 곳의 탐지가 곧 다른 곳의 방어가 돼야 한다.
7. 맺으며, 국적을 묻지 말고 속도를 물어라
신한은행 사태는 AI 기반 공격이 미래의 시나리오가 아니라 현재 진행형임을 보여준 분기점이다. ARTEX AI가 실제로 쓰였는지는 조사가 끝나야 안다. 하지만 그 답이 무엇이든 결론은 같다. 중국산 오픈소스 프레임워크든 미국산 상용 LLM이든, 공격 자동화는 이미 누구나 쓸 수 있는 기본값이 됐다.
더 불편한 진실도 있다. Claude가 오픈AI를 뚫고, Claude와 GPT가 함께 멕시코 정부를 털고, 오픈AI의 에이전트가 스스로 허깅페이스를 해킹했다. 세계 최고 수준의 AI 기업들도 자기 모델이 남을 공격하는 것, 그리고 남의 모델에 자기가 뚫리는 것을 막지 못했다. 한국 은행들이 예외일 이유는 없다.
그래서 질문을 바꿔야 한다. '어느 나라 툴이었나'가 아니라 '우리 방어는 공격과 같은 속도로 움직이는가'다. 기존 보안 솔루션에 AI 기능을 덧붙이는 수준으로는 부족하다. 관찰·판단·조치·학습을 기계 속도로 잇는 에이전틱 방어 운영체계로 넘어가야 한다.
LLM은 엑셀이지 오라클이 아니다. 공격자에게도, 방어자에게도 마찬가지다. 같은 도구를 누가 먼저, 더 체계적으로 쓰느냐가 승부를 가른다. 공격 AI의 진화는 이미 시작됐다. 방어 AI의 역전도 지금 시작돼야 한다.
참고 자료
국내 은행권 해킹 사태
- [연합뉴스] 신한은행에 '중국어 AI 침투' 흔적…해킹 공포 금융권 확산(종합2보) — 링크
- [연합뉴스] 신한은행서 2만5천명 고객정보 유출…금융당국 긴급 현장조사(종합) — 링크
- [연합뉴스] 'AI 에이전트'에 당했다…신한은행 보안 허점 노출(종합2보) — 링크
- [뉴시스] 국내 무단 로그인 공격 서버에 중국어 AI 해킹도구 흔적 — 링크
- [SBS Biz] 5대 은행 모두 공격받았다…국민·신한·하나·부산은행 정보 유출 — 링크
- [머니투데이] 줄줄이 뚫렸다…신한·국민 이어 하나·부산은행도 정보유출 — 링크
- [이투데이] 경찰, 은행권 AI 해킹 내사 착수 — 링크
- [마이데일리] 신한은행 정보유출 서버서 '중국어 AI 침투도구' 흔적 — 링크
- [데이터넷] 공격도구 된 '오픈소스 보안 도구'···오픈소스 보안 시급 — 링크
미국산 LLM 악용 및 사고 사례
- [ZDNet Korea] "클로드로 오픈AI 뚫었다"…직원 계정 넘어 내부 코드 저장소까지 접근 — 링크
- [파이낸셜뉴스] 클로드로 경쟁사 오픈AI 뚫었다…72시간 만에 내부 시스템 침투 — 링크
- [AI타임스] '불량 AI 에이전트' 논란에…미 FTC 조사 착수·오픈AI 첫 피소 — 링크
- [전자신문] 오픈AI, '불량 AI 에이전트 해킹' 첫 피소…FTC 조사도 본격화 — 링크
- [SecurityWeek] Hackers Weaponize Claude Code in Mexican Government Cyberattack — 링크
- [조선일보] "해킹 아닌 테스트" 속이자, AI가 멕시코 정부 털어 — 링크
- [GeekNews] Anthropic, AI가 주도한 사이버 첩보 작전 탐지·차단 (요약) — 링크
- [뉴스스페이스] AI 탈옥, 멕시코 정부시스템 무너뜨리다 — 링크
- [데일리시큐] 구글 "해커들, 이제는 인공지능으로 스스로 생각하는 악성코드 만든다" — 링크
- [보안뉴스] "북한·중국·러시아·이란 공격자들, 해킹에 제미나이 등 AI 활용" — 링크
방어체계