1. 미토스의 등장과 AI의 공격

① 단독 취약점의 한계 극복과 AI기반의 고도화된 공격 경로

AI가 보안에 들어온 방식이 달라지고 있다. 초기의 생성형 AI는 보안 담당자의 문서 작성과 코드 설명을 돕는 보조 도구에 가까웠다. 그러나 최근 등장한 AI 보안 모델은 취약점을 찾고 여러 약점을 연결하며 공격 가능성이 높은 경로를 제시하는 단계로 이동하고 있다. 미토스가 주목받는 이유는 여기에 있다. 강력한 공격자가 나타났다는 공포를 뒤로하고 보아야 할 것은 분명하다.

“AI가 공격과 방어의 시간표를 바꾸고 있다”

Mythos 5 (미토스)는 금융권에서 오래된 소프트웨어와 인프라의 취약점을 찾아내고 여러 약점을 연결해 중대한 위험을 찾아내고 악용 가능성을 함께 제시했다. 이후 일반 공개 버전에서는 논란이 된 사이버보안 기능이 제외되었고, 해외 접근 제한에 따라 우리나라의 접속도 차단하고 있다. 이런 일련의 상황은 미토스가 보여주는 보안의 방향으로 해석할 수 있다. AI는 취약점 하나를 찾는 수준을 넘어 취약점 사이의 관계를 분석하고 공격 가능성이 높은 경로를 빠르게 구성할 수 있다는 것이다.

기존 보안 체계는 사람이 취약점을 찾고 사람이 분석하며 사람이 패치하는 속도를 전제로 발전해 왔다. 그러나 AI가 코드와 설정 파일과 인증서 체계와 배포 구조를 동시에 분석할 수 있다면 상황은 달라진다. 오래된 라이브러리 하나가 단독 취약점으로 끝나지 않는다. 잘못 관리된 인증서, 취약한 업데이트, 노출된 API 권한이 하나의 공격 경로로 묶일 수 있다. 우리는 이제 개별 취약점보다 취약점이 연결되는 시간을 보아야 한다.

[그림 1. AI 공격 자동화 이후 보안 시간표의 변화]

② 압축되는 공격 타임 라인: 기존 보안 패치 프로세스 한계

AI 공격 자동화가 위험한 이유는 더 많은 취약점을 찾아내며, 취약점 발견과 공격 경로 구성이 하나의 시간표 안에서 너무도 빠르게 압축된다는 점이다. 이제 우리가 확인해야 할 대상은 소스코드의 버그만이 아니라 고객의 인증서와 나의 인증서가 어디에 쓰이는지 확인해야 하고, 서명 알고리즘이 무엇인지 확인해야 하고, TLS와 VPN이 어떤 키교환에 의존하는지 보아야 한다. 소프트웨어 업데이트 체계가 어떤 공개키 암호를 사용하는지까지 함께 확인해야 한다.

2. 암호 기반 신뢰 체계의 위기: 왜 지금 PQC(양자내성암호)인가?

PQC를 바라보는 시각도 정교해져야 한다. PQC는 AI의 자동화된 공격을 직접 차단하지 않는다. 또한 AI가 취약점을 찾아내는 행위 자체를 PQC가 멈추게 하지도 않는다. 그러나 취약한 구현과 낡은 암호 방식과 관리되지 않는 인증 체계를 AI가 더 빠르게 찾아내는 지금 시대에는 암호 기반 신뢰 체계의 수명이 더욱 중요해진다.

① AI 공격 시대의 신뢰 수명 점검

양자컴퓨터를 생각하며 방어자로서 시스템 운영자와 보안 담당자가 내부에 던져야 할 질문은 “오늘 안전한가”에서 “이 신뢰 구조가 앞으로도 견딜 수 있는가”로 이동한다.

PQC 전환이 필요한 이유는 여기에 있다. 공격자가 취약점을 더 빠르게 찾는 시대에는 방어자도 시스템의 신뢰 기반을 시간 축에서 점검해야 한다. 오늘 정상 동작하는 인증서가 앞으로도 신뢰될 수 있는지 보아야 한다. 오늘 사용 중인 서명 알고리즘이 보호해야할 데이터와 계약과 장기적으로 운용할 장비를 보호하기에 충분한지 판단해야 한다. 오늘 안전하다고 판단한 TLS와 VPN 키교환 구조가 양자컴퓨터 위협까지 고려해도 견딜 수 있는지 확인해야 한다.

[그림 2. 일상의 인증 서비스와 PQC 전환 대상]

논리적으로 보면 PQC는 마지막에 놓여 있는 것처럼 보일 수 있다. 그러나 마지막으로 미룰 수 있는 과제는 아니다. 암호는 시스템의 신뢰를 지탱하는 기반이기 때문이다.

PKI 인증서는 서버와 사용자의 신원을 증명하고, 전자서명은 문서와 거래의 무결성을 보장하고, 코드서명은 소프트웨어 업데이트의 출처를 확인하고, TLS와 VPN의 키교환은 통신 구간의 비밀성을 만든다. 펌웨어 검증은 장비가 공격자의 코드로 바뀌지 않도록 막는다. 이 모든 신뢰 구조는 공개키 암호를 전제로 동작한다. 앞으로는 양자내성 기반의 공개키 암호에서 동작할 것이다.

② 신원 증명의 보이지 않는 암호 구조

이 신뢰 구조는 사용자가 눈으로 보는 인증서 화면에만 존재하지 않는다. MFA와 FIDO와 SSO처럼 일상적으로 사용하는 인증 기술 안에도 키와 서명과 검증의 구조가 숨어 있다. FIDO/생체인증은 사용자의 장치 안에서 그리고 로그인 시점마다 서비스에서 서명값을 검증하는 방식으로 사용자를 확인한다. SSO 역시 SAML Assertion이나 OIDC ID Token과 같은 인증 결과를 서명하고 검증하는 구조를 통해 여러 서비스가 하나의 인증 결과를 신뢰할 수 있게 만든다.

이 흐름은 신원·자격 증명 영역에서도 나타난다. 블록체인과도 연결되기도 하는 모바일 신분증과 전자지갑, 디지털 자격증명은 발급자가 정보를 전자적으로 발급하고 검증자가 그 정보의 정당성과 무결성을 확인하는 구조를 가진다. 사용자는 이를 인증서나 전자서명으로 직접 인식하지 못할 수 있지만, 그 뒤에는 발급자 서명과 소지자 증명과 검증자의 신뢰 판단이 존재한다.

따라서 PQC 전환은 브라우저에 표시되는 기존의 인증서만 바꾸는 일이 아니다. FIDO 로그인, SSO 연동, API 인증, 신원·자격 증명, 코드서명, 펌웨어 검증 뒤편에 숨어 있는 서명과 검증 구조를 식별하고 장기 신뢰가 필요한 영역부터 양자내성 환경으로 옮겨가는 일이다.

3. 위험의 본질: 인증서 폐지가 아닌 암호 알고리즘 세대교체

여기에서 오해해서는 안 될 점이 있다. 위험한 대상은 현재 사용하는 PKI 인증서 그 자체가 아니다. 인증서는 여전히 디지털 신뢰 체계의 핵심 수단이다. 서버가 진짜인지 확인하고 사용자가 누구인지 검증하며 문서와 소프트웨어의 무결성을 보장하는 역할은 인증서 없이 쉽게 대체하기 어렵다.

① 관리되지 않는 암호 자산과 알고리즘 약화의 실상

양자컴퓨터로 바라보는 문제는 개인용인증서나 공동인증서의 존재가 아니라 인증서를 지탱하는 암호 알고리즘과 인증 체계의 약화에 있다. 오래된 공개키 알고리즘에 계속 의존하는 구조와 관리되지 않는 인증서 목록, 만료된 인증서 방치, 기존 서명 알고리즘 전환 계획의 부재, 코드서명 키 관리 미흡이 실제 위험을 만든다. 따라서 대응 방향은 내부의 암호 알고리즘과 키 관리 방식과 발급·갱신·폐기 절차를 양자내성 환경에 맞게 전환하는 것이다. 인증서는 없애야 할 대상이 아니라 더 오래 신뢰할 수 있도록 재설계해야 할 대상이다.

PQC 전환의 의미는 공개키 알고리즘을 양자내성을 가진 공개키 알고리즘으로 확장하고 필요한 경우 기존 알고리즘과 PQC 알고리즘을 함께 사용하는 하이브리드 구조로 신뢰의 연속성을 확보하는 과정이다.

② PQC 표준과 하이브리드 전환 구조

AI와 더불어 양자컴퓨터의 위협은 여기에 시간 축을 추가한다. 미국의 국립표준기술연구소(NIST)는 2016년 부터 2024년 까지 근 10년간 PQC 알고리즘 표준화를 추진하여 ML-KEM과 ML-DSA, SLH-DSA를 각각 FIPS 203과 FIPS 204, FIPS 205로 확정했다. 미국 사이버 보안 및 인프라 보안국(CISA)과 NIST, NSA는 양자내성암호 전환을 준비하기 위해 암호 시스템과 암호 자산을 식별하고 민감도와 중요도에 따라 마이그레이션 계획을 수립해야 한다고 권고했다. 결과적으로 이는 PQC가 실제 해야 할 전환 과제가 되었음을 의미한다.

현재의 공개키 암호가 오늘 당장 모두 깨진다는 뜻은 아니다. 슈퍼컴퓨터로는 풀 수 없는 문제를 구글이 양자컴퓨터로 해결할 수 있다고 해서 지금 사용하는 인터넷 뱅킹과 증권거래와 연말정산과 인터넷 쇼핑이 즉시 위험해진다는 뜻도 아니다. 그러나 보호되어야 하는 데이터와 신뢰되어야 하는 인증 체계는 오늘의 안전성만으로 판단하기 어렵다.

“공격자는 암호화된 데이터를 지금 수집한 뒤 나중에 해독할 수 있다. “

시스템에 박혀 있는 인증서와 키교환 구조와 서명 알고리즘은 하루 만에 바뀌지 않는다. 금융과 공공과 의료와 통신처럼 무엇보다 신뢰가 필요한 영역에서는 전환 준비 자체가 보안 대책이 된다.

미토스가 보여준 것은 AI가 보안의 시간표를 바꾼다는 점이고, PQC가 보여주는 것은 신뢰의 수명을 다시 설계해야 한다는 점이다. 이 둘은 서로 다른 문제처럼 보이지만 기업과 기관의 보안 전략 안에서는 같은 방향을 가리킨다. 앞으로의 보안은 백신을 사용한 방어나 단순한 코드상의 취약점을 찾는 능력만으로 충분하지 않다. 취약점이 발견되었을 때 어떤 암호 자산이 영향을 받는지 서둘러 파악해야 하고, 어떤 인증서가 사용되는지 당장 알아야 한다. 어떤 시스템이 RSA와 ECC에 의존하는지 명확하게 확인해야 한다. 어떤 업데이트 체계가 서명 검증에 의존하는지 점검해야 한다.

4. POST 미토스 보안 전략: PQC 전환 5대 액션 플랜

결국 기업은 고객을 위해 기관은 민원인을 위해 그리고, 스스로의 서비스 신뢰를 지키기 위해 해야 할 일이 분명하다.

①  암호 자산을 식별해야 한다.

②  보호가 필요한 데이터와 시스템을 구분해야 한다.

③  TLS/VPN, PKI와 코드서명, 펌웨어 업데이트 등의 체계를 우선순위로 정리해야 한다.

④  기존 알고리즘과 PQC 알고리즘을 함께 운용할 수 있는 하이브리드 전환 구조를 검토해야 한다.

⑤  제품과 서비스가 특정 알고리즘과 특정 기술에 고정되지 않도록 암호 민첩성을 확보해야 한다.

5. 결론: 신뢰의 핵심 PQC 전환

AI를 사용한 공격의 방어는 AI 도입만으로 해결되지 않는다. AI로 취약점을 더 빨리 찾는 것만큼 중요한 일은 발견된 위험이 어느 신뢰 체계를 흔드는지 판단하는 것이다. 이 부분에 사람의 판단과 책임있는 조치가 필요하다.

미토스 이후의 보안 전략(미토스 보안 전략)은 취약점 대응과 암호 전환을 분리해서 볼 수 없다. 공격의 시간이 방어할 수 없을 정도로 빨라지고 공격의 시간표가 압축될수록 보안 신뢰 기반의 수명은 더욱 엄격하게 관리되어야 하고 그 수명을 다시 설계해야 한다. 신뢰의 핵심 축은 PQC 전환이다.