영국 NCSC, 2028년까지 AI 랜섬웨어의 기반시설 공격 가능성 경고

영국 국가사이버보안센터(NCSC)가 2028년까지 자국 핵심 기반시설을 겨냥한 랜섬웨어 공격에 AI 기반 악성코드가 쓰일 가능성이 높다고 평가했다. NCSC는 11월 3일 연례 보고서와 별도 AI 위협 평가를 공개했다. 발전·수도·생산 설비 등을 운영하는 조직에는 새로운 공격 기법만 추적하는 것과 함께, 오래된 시스템의 취약점과 유지관리 투자 부족을 점검해야 한다고 촉구했다.

리처드 혼 NCSC 최고경영자는 이날 보고서 발표 연설에서 AI가 기존 약점을 찾고 악용하는 속도와 규모를 키운다고 설명했다. 지원이 끝난 시스템을 계속 쓰고, 필요한 범위보다 넓게 접근 권한을 주며, 가격만 보고 서비스를 구매해 온 관행을 문제로 지목했다. 전력 개폐, 수문, 댐, 생산 라인과 난방·냉장 제어처럼 물리적 과정에 연결된 기술도 같은 투자 문제를 안고 있다고 말했다.

실제 사건 기록과 미래 전망은 구분된다. 2025년 9월 1일부터 2026년 8월 31일까지 NCSC에 접수된 사이버 공격 보고는 1,831건이었다. 분류를 거쳐 대응팀의 지원이 필요했던 사건은 337건이며, 이 중 80건이 국가적으로 중요한 사건으로 분류됐다. 이 집계는 NCSC에 보고된 사이버 사건을 대상으로 하며, AI 공격만 따로 센 숫자가 아니다.

연례 보고서는 공격자들이 AI 도구를 사용하기 시작했지만 관측된 활용에서 새로운 공격 유형이 생겨난 사례는 확인하지 못했다고 밝혔다. 방어를 자동화하는 데에는 별도의 제약이 따른다. NCSC의 데이브 치스먼은 9월 21일 설명에서 공격자는 기술적 성공에 집중하는 반면, 방어 조직은 패치나 방화벽 변경이 정상 업무를 멈추지 않을지 입증하고 승인을 받아야 한다고 지적했다.

별도 AI 침입 평가서는 2028년을 내다본 기본·비관·낙관의 세 시나리오를 제시했다. 통제를 벗어나 스스로 복제하는 공격 주체는 비관 시나리오에 포함된 가정이다. 문서는 이 시나리오들을 미래에 실제로 일어난 일이나 확정된 예측으로 읽지 말아야 한다고 명시했다.

위험 평가를 읽는 기준과 방어 과제

NCSC가 쓴 ‘가능성이 높다(highly likely)’는 정보기관의 확률 표현이다. 영국 정부의 판단 기준 PHIA에서 이 표현은 대략 80~90% 구간에 해당한다. 정부 설명은 대부분의 정보 판단이 정량 데이터에 근거하지 않으므로 지나치게 정밀한 숫자로 오해하지 않게 언어로 표시한다고 밝힌다. 이는 특정 기업이 공격당할 확률을 실측한 통계와는 다른 종류의 평가다.

같은 정부 기준은 사건의 발생 가능성과 분석의 신뢰도를 따로 설명한다. 후자는 판단에 쓴 정보의 기반이 얼마나 탄탄한지, 새로운 정보가 들어오면 결론이 얼마나 바뀔 수 있는지를 다룬다. 따라서 높은 발생 가능성이라는 표현만으로 모든 근거가 확정됐거나 모든 조직에 같은 위험이 적용된다고 해석할 수는 없다.

국가 방어 계획에 연결된 연구 과제도 남아 있다. NCSC가 10월 20일 공개한 AI 연구 과제집은 사람과 AI의 협업을 여러 연구 문제를 가로지르는 주제로 제시했다. 어떤 업무에 어느 수준의 자율성을 줄 수 있는지, 언제 사람의 판단이 필요한지, 규모가 커져도 실질적인 감독을 어떻게 유지할지가 연구 대상이다. 기존에 사람이 수행하는 방식과 비교해 AI가 위험을 줄이는 부분과 새 위험을 만드는 부분을 함께 살피겠다는 방향이다.

정부는 방어 역량에도 투자하고 있다. NCSC의 이날 공지는 지난주 재무장관이 국가 사이버 실드의 첫 단계에 6,000만 파운드, 국가 노출·실시간 취약점 센터(NERV)에 7,000만 파운드 투자를 발표했다고 밝혔다. NERV는 핵심 기반시설과 경제 전반의 취약점을 찾는 데 AI를 활용할 예정이다. 맨체스터에는 정부 내 AI 보안 전문성을 기르는 센터도 추진한다.

치스먼은 9월 설명에서 AI가 자료를 분석해 사람의 판단을 돕는 것과 시스템을 직접 바꾸는 행동은 위험이 다르다고 밝혔다. 자동 대응이 영향을 미칠 시스템의 범위, 업무의 중요도, 사전 시험과 되돌릴 수 있는 정도 등을 함께 따져야 한다는 설명이다. 연례 보고서에 담긴 사이버 실드는 앞으로 5년 동안 국가 규모의 에이전트 방어 체계를 만드는 구상이다. 초기 기능은 탐지와 차단에 집중한다.