북한 해킹조직 김수키의 AI 공격 체계 진화

핵심 요약

북한 연계 해킹조직인 김수키(Kimsuky)가 생성형 AI를 단순한 보조 도구를 넘어 공격 체계 전반에 통합하려는 움직임을 보이고 있습니다. 기존에는 피싱 문서를 만드는 수준에 그쳤으나, 최근에는 로컬 LLM과 RAG(검색증강생성) 환경을 직접 구축하여 탈취한 정보를 분석하고 공격 과정을 자동화하려는 기술적 준비를 마친 것으로 확인되었습니다. 이는 사이버 공격의 속도와 정교함을 획기적으로 높이는 단계로의 진화를 의미합니다.

상세 내용

1. 로컬 AI 환경 구축과 정보 분석 역량 강화

김수키는 외부 AI 서비스에 데이터를 전송할 경우 발생할 수 있는 보안 노출을 피하기 위해, 개인용 컴퓨터나 내부 시스템에서 구동 가능한 로컬 LLM 실행 환경을 구축했습니다. 이들은 Ollama, GPT4All, Msty와 같은 도구를 사용하여 독자적인 AI 운용 환경을 마련했습니다.

특히 주목할 점은 RAG(검색증강생성) 기술의 활용 흔적입니다. 이는 AI가 사용자가 보유한 문서를 기반으로 답변하도록 만드는 기술로, 김수키가 대량으로 탈취한 문서들을 AI와 연결해 필요한 정보를 자동으로 찾아내고 요약하려 했다는 증거입니다. 또한, 음성을 문자로 변환하는 STT(Speech-to-Text) 기술인 위스퍼(Whisper) 등을 시험한 정황도 발견되었습니다. 이를 통해 탈취한 통화 녹음이나 회의 음성 자료까지 분석 대상으로 삼아 정보 수집의 효율성을 극대화하려는 전략을 보여줍니다.

2. AI 에이전트를 통한 공격 자동화 시도

단순한 자료 분석을 넘어, 공격의 전 과정을 스스로 수행하는 AI 에이전트 개발 환경을 갖추려는 움직임이 포착되었습니다. 이들은 Microsoft Semantic Kernel이나 Agents AI와 같은 라이브러리를 확보하여, AI가 스스로 판단하고 동작하는 공격 도구를 만들 준비를 하고 있습니다.

이러한 기술적 축적은 정보 수집, 분류, 분석, 그리고 후속 공격 준비로 이어지는 일련의 과정을 자동화할 가능성을 시사합니다. 즉, 사람이 일일이 개입하지 않아도 AI가 타깃의 취약점을 찾고, 맞춤형 공격 도구를 생성하며, 탈취한 자료에서 핵심 정보를 뽑아내는 지능형 자동 공격 체계로 발전하고 있는 것입니다.

3. 정교해진 피싱 기법과 언어적 특징

공격의 첫 단계인 사회공학적 기법도 매우 정교해졌습니다. 과거에는 기존에 훔친 문서를 재활용하는 수준이었으나, 최근에는 생성형 AI를 활용해 실제 금융권이나 핀테크 기업의 투자 전략 보고서와 매우 유사한 문서를 직접 제작하고 있습니다. 문서의 색상, 이모지 활용, 문체 등을 실제 업무 문서와 구별하기 어려울 정도로 완벽하게 모방하여 사용자의 신뢰를 얻고 악성 파일 실행을 유도합니다.

이 과정에서 이들의 정체성을 짐작게 하는 언어적 단서도 발견되었습니다. 로그 분석 결과, '싸이트', '리력', '로출되였는지'와 같이 대한민국 표준어와는 다른 북한식 어휘와 표기가 반복적으로 나타났습니다. 이는 이들이 한글로 기술적 질문을 작성한 뒤 번역기를 거쳐 AI에 질문하는 과정에서 남겨진 흔적으로, 공격 주체의 문화적 배경을 판단하는 중요한 근거가 됩니다.

정리

김수키의 이번 행보는 북한 해킹조직의 AI 활용이 단순한 '도구 사용'에서 '공격 체계의 통합' 단계로 넘어갔음을 보여줍니다. AI를 통해 공격의 준비와 분석 단계에서의 병목 현상을 해결하고, 공격의 정교함과 자동화를 동시에 달성하려 하고 있습니다. 따라서 향후 보안 대응은 단순히 문서의 어색함을 찾는 수준을 넘어, 엔드포인트에서 발생하는 비정상적인 실행 행위와 통신 흐름을 통합적으로 탐지하는 행위 중심의 방어 전략으로 전환되어야 합니다.