[이데일리 신수정 기자] 북한 연계 해킹조직 ‘김수키’가 대규모언어모델(LLM)을 자체적으로 구동하고 사이버공격을 자동화할 수 있는 인공지능(AI) 도구를 구축한 정황이 포착됐다. 생성형 AI로 피싱 문구를 만드는 수준을 넘어 악성코드 개발과 탈취자료 분석, 공격 자동화에 기존 AI 모델을 활용할 기반을 마련하고 있다는 분석이다. 10일 로이터통신에 따르면 한국 사이버보안업체 지니언스는 김수키와 연계된 인프라에서 AI 모델을 자체 구동·관리할 수 있는 도구를 발견했다고 밝혔다. 확인된 도구에는 ‘올라마(Ollama)’, ‘GPT4All’, ‘Msty’ 등이 포함됐다. 검색증강생성(RAG) 방식의 문서검색 기술도 함께 발견됐다.

이들 도구를 활용하면 해킹조직이 민감한 자료를 외부 AI 서비스로 보내지 않고 자체 환경에서 문서를 분석할 수 있다고 지니언스는 설명했다. 외부 서비스에 데이터를 전송하는 과정에서 정보가 노출될 가능성을 줄이면서 탈취한 자료를 분류·검색·분석할 수 있다는 의미다.

김수키의 AI 활용 범위가 넓어지고 있다는 정황도 확인됐다. 지니언스는 해당 공격 인프라에서 AI 에이전트 개발용 프레임워크와 음성을 문자로 바꾸는 소프트웨어, AI 기반 코딩 도구 ‘커서(Cursor)’를 발견했다. 지니언스는 이를 근거로 김수키가 생성형 AI를 단순 피싱 제작에 사용하는 단계를 넘어 기존 AI 모델을 악성코드 개발과 데이터 분석, 공격 자동화에 결합할 역량을 구축하고 있다고 평가했다.

AI로 만든 것으로 추정되는 위장 문서도 발견됐다. 지니언스에 따르면 김수키 관련 자료에는 금융·가상자산을 주제로 한 문서가 포함됐으며, 정상적인 투자보고서나 회사 업무자료처럼 보이도록 제작됐다. 공격 대상자가 문서를 신뢰해 파일을 열거나 링크를 클릭하도록 유도하려는 목적의 자료로 지니언스는 판단했다.

다만 이번 분석은 지니언스가 확인한 공격 인프라와 자료를 토대로 한 것이다. 로이터는 지니언스의 조사 결과를 독립적으로 검증하지 못했다고 명시했다. 따라서 발견된 AI 도구가 실제 사이버공격에 어느 정도 투입됐는지, 구체적으로 어떤 공격에 사용됐는지는 이번 보도만으로 확인되지 않는다.

북한 연계 해킹조직은 그동안 정보 수집과 금전 탈취, 외화 수입 확보 등을 목적으로 사이버공격을 벌여온 것으로 미국과 한국 당국 및 보안업계는 보고 있다. 미국 재무부는 2023년 김수키를 북한 정부가 통제하는 사이버첩보 조직으로 규정해 제재 대상에 올렸다. 당시 미 재무부는 김수키가 북한의 전략적 목표를 지원하기 위한 정보를 수집한다고 설명했다.

이번에 새롭게 확인된 부분은 김수키가 외부 생성형 AI 서비스를 단순 이용하는 데 그치지 않고 AI 모델을 자체 환경에서 돌리고 관리할 수 있는 도구까지 갖췄다는 점이다. 다만 지니언스가 확인한 도구의 존재만으로 실제 공격 자동화가 이뤄졌다고 단정할 수는 없다. 로이터 역시 실제 활용 범위와 공격 성과에 대해서는 별도로 확인하지 않았다.