미국 보안업체가 AI로 위챗 노리는 '제로클릭' 웜을 만들었어요. 취약점 발견부터 완성까지 9일, 예전엔 몇 달 걸리던 일이에요. 실전 공격 전 텐센트에 신고해 패치됐지만 경고는 남았어요.
미국 캘리포니아의 보안업체 '캘리프(Calif)'가 최근 좀 섬뜩한 실험 결과를 공개했어요. AI를 이용해서 위챗을 노리는 '제로클릭' 웜을 실제로 만들어봤다는 거예요. 이름도 'WeWorm'이라고 붙였더라고요.
'제로클릭'이라는 게 핵심이에요. 보통 해킹이라고 하면 피해자가 이상한 링크를 클릭하거나 파일을 실행해야 뚫리잖아요. 근데 위웜은 그럴 필요가 전혀 없어요. 위챗으로 전화가 걸려오기만 하면, 받지 않아도, 심지어 화면을 터치하지 않아도 계정이 통째로 넘어가요. 발신자가 피해자의 위챗 연락처에 이미 등록된 사람이어야 한다는 조건만 있을 뿐이에요.
더 놀라운 건 속도예요. 캘리프 측 설명에 따르면 AI가 지난 7월에 취약점을 먼저 찾아냈고, 그다음 원격 코드 실행(RCE) 익스플로잇을 만드는 데 딱 이틀 걸렸대요. 거기서 한 주를 더 들여서 웜 전체를 완성했다고 하니, 취약점 발견부터 완성형 웜까지 다 합쳐도 9일 남짓인 거예요. 예전 같으면 숙련된 팀이 몇 달을 붙어야 했을 작업이라고 하네요.
작동 방식도 꽤 무서워요. 위웜에 감염된 계정은 저장된 연락처 목록을 그대로 이용해서 다음 타깃한테 전화를 걸어요. 사람이 개입할 필요가 없으니까 확산 속도가 기하급수적으로 빨라지는 구조죠. 전문가들은 이 웜이 실제로 풀렸다면 몇 시간 안에 수억 대 기기를 감염시킬 수 있었을 거라고 봤어요.
다행인 건, 캘리프가 이걸 실전에 풀지 않고 텐센트에 조용히 신고했다는 점이에요. 텐센트는 문제가 된 취약점을 이미 패치했고, 지금까지 실제 공격 사례는 보고되지 않았어요. 뉴욕타임스의 더스틴 볼즈 기자가 이 내용을 처음 보도했고, 이후 더해커뉴스, 헬프넷시큐리티 같은 보안 매체들도 잇따라 다뤘어요.
근데 솔직히 이 소식에서 진짜 무서운 부분은 위챗 자체의 취약점이 아니라, AI가 취약점 발견부터 무기화까지 걸리는 시간을 얼마나 압축시켰는가예요. 몇 달 걸리던 사이버 무기 개발이 열흘도 안 걸리게 됐다는 거잖아요. 방어하는 쪽 입장에서는 패치할 시간 자체가 확 줄어드는 셈이니 부담이 커질 수밖에 없어요.
사실 이런 흐름이 처음은 아니에요. 최근 오픈AI의 아스트라 모델도 스스로 제로데이 두 개를 찾아내면서 '치명적' 사이버 등급을 받은 적이 있고, 오픈AI는 아예 사이버 방어에 10억 달러를 쏟아붓겠다며 '데이브레이크' 프로그램도 가동했잖아요. 이번 위웜 사례는 그 반대편, 그러니까 공격 쪽에서도 AI가 얼마나 판을 바꾸고 있는지를 보여주는 사례예요.
개인적으로는 이게 양날의 검이라는 생각이 들어요. 캘리프처럼 책임감 있게 신고하는 연구자들 덕분에 지금은 패치가 됐지만, 같은 도구를 악의적으로 쓰는 쪽이 나오지 않으리라는 보장은 없잖아요. AI 덕분에 방어 기술도 빨라지지만, 공격 기술이 빨라지는 속도가 더 눈에 띄는 요즘이에요. 보안 업계에서 'AI 대 AI' 경쟁이라는 표현을 쓰기 시작한 이유가 있구나 싶더라고요.
위챗은 이용자가 10억 명이 넘는 앱이잖아요. 이번엔 다행히 실전 피해로 이어지지 않았지만, 다음에도 이렇게 운이 좋을지는 아무도 모르는 일이에요. ⚠️🔥
출처