AI가 바꿔놓은 사이버보안 게임의 규칙

19세기 초 갈등이 끊이지 않던 남아프리카 부족들 간에는 암묵적인 전쟁의 규칙이 있었다. 서로 거리를 유지한 채 긴 창을 던지며 세력을 과시하고 한쪽의 우위가 확인되면 어느 쪽도 치명적 피해 없이 전투를 끝내는 게 당시의 전쟁 방식이었다. 하지만 줄루족의 젊은 지도자 샤카(Shaka Zulu)는 규칙 자체를 바꿔버렸다. 그는 큰 방패와 짧은 창으로 병사들을 무장시키고, 적진으로 돌격해 근접전을 벌이도록 훈련했다. 긴 창을 던진 뒤 무방비 상태가 되는 다른 부족들은 샤카의 새로운 전술 앞에서 속수무책 으로 섬멸됐다.

게임의 규칙이 바뀌면 기존 규칙에 최적화된 강점은 오히려 치명적 약점으로 작용한다는 것을 보여주는 역사적 사례다. 오늘날 사이버보안 분야에서 정확히 같은 일이 벌어지고 있다.

지난 20여년 동안 사이버보안 생태계를 지탱해온 중요한 원칙이 있다. 보안 연구자가 특정 소프트웨어(SW)의 취약점을 발견하면 해당 업체에 먼저 알리고, 일정 기간 패치할 시간을 제공한 뒤 공개하는 ‘협력을 통한 취약점 공개’(Coordinated Vulnerability Disclosure) 절차다. 일반적으로 약 90일의 유예기간이 주어졌고, 이 체계는 수십억 명의 디지털 사용자를 보이지 않는 곳에서 보호해왔다.

이 방식이 작동할 수 있었던 배경은 공격자와 방어자가 모두 인간의 속도로 움직였다는 데 있다. 취약점을 발견하기까지 시간이 소요됐고, 공격 코드를 만드는 데에도 시간이 필요했다. 이 때문에 기업들은 패치를 개발하고 검증한 뒤 배포할 시간을 확보할 수 있었다. 완벽하지는 않았지만 모두가 비슷한 속도로 움직였기에 균형이 유지됐다.

※ 위 내용은 기사 일부를 발췌한 내용입니다. 전문은 원문 기사를 통해 확인하실 수 있습니다.