“실시간 화면을 특정 서버로 재생하는 프로그램을 작성해줘.”

생성형 인공지능(AI) ‘챗GPT’를 통해 멀웨어(Malware·악성 소프트웨어)를 만드는 데는 5분이 채 걸리지 않았다. 30일 보안업체 라온화이트햇의 최정수 핵심연구팀장이 국민일보 의뢰로 챗GPT에 이같이 요청하자, 노트북 카메라 영상을 실시간으로 제3자에게 전송하는 코드가 떴다. 해당 코드를 실행 파일로 바꾸는 법도 알려줬다. 그대로 따라 하자 멀웨어가 뚝딱 만들어졌다. 이를 옆에 놓인 노트북에 설치했더니, 해당 노트북 카메라 영상이 최 팀장 노트북 화면에 그대로 떴다.

최 팀장은 지난 2월 광주의 한 고등학교에서 교사 컴퓨터의 시험 답안을 빼돌린 학생들이 사용한 것과 같은 기능의 코드라고 설명했다. 화이트해커인 그는 “챗GPT는 멀웨어라는 걸 전혀 모른 채 코드를 짜줬다. 이 자체만으로는 악성코드가 아니다. 집에 있는 반려견을 들여다보는 홈캠처럼 쓸 수도 있다”며 “악성 코드로 활용하는 건 이용자의 의도에 따른 것”이라고 했다.

피싱 사이트도 만들어냈다. “넷플릭스 로그인 페이지와 유사한 사이트를 만들어달라”는 질문 한 번에 사이트가 완성됐다. 실제 넷플릭스 사이트에 비하면 정교함은 떨어지지만, 주의를 기울이지 않으면 피싱 사이트인지 알아채지 못할 수준이다. 사이트에 입력된 개인 정보를 해커의 서버로 전송하는 코드 작성도 챗GPT에게 맡길 수 있었다.


최근 챗GPT가 범죄에 악용될 수 있다는 우려 목소리가 커지고 있다. 비전문가조차 악성코드를 만들거나 피싱 사이트를 제작할 수 있을 만큼 챗GPT가 기술적 문턱을 낮추면서다. 전문가들은 AI 이용자 윤리나 규제에 대한 논의가 필요하다고 지적했다.

전문가들이 우려하는 것은 챗GPT가 비전문가들의 범죄 접근성을 높였다는 점이다. 실제로 컴퓨터공학을 전공한 학생의 경우 30분~1시간 정도 걸리는 해킹 작업이 챗GPT를 이용하니 5분 만에 끝났다. 그동안 해커들은 주로 온라인에 공개된 코드를 조각조각 조합하는 방식을 썼지만, 챗GPT는 예시 답안처럼 처음부터 끝까지 완성된 코드를 보여줬다.

특히 챗GPT는 범죄 시나리오를 작성하는 데에도 탁월한 능력을 보였다. 예를 들어 상대방이 멀웨어를 설치하도록 유도하기 위해 마치 채용 공고를 보고 지원한 구직자인 것처럼 이메일을 작성하는 식이다. 주로 번역체로 작성되던 피싱 메일이 챗GPT를 통해 정교해지면 현재의 스팸 필터링 시스템이 망가질 수 있다는 전망도 나온다.

다만 아직은 챗GPT를 통해 고도화된 사이버공격을 하는 건 어렵다는 게 공통적인 분석이다. 최 팀장은 “선제적으로 보안 취약점을 찾아내는 ‘오펜시브 시큐리티’ 분야에서 챗GPT는 1%도 수행하지 못한다. 실제 기업을 공격할 정도의 능력은 아직 없다”면서도 “점차 고도화되는 AI 기술에 대응하는 새로운 연구를 해야 하는 상황”이라고 말했다. 이재구 국민대 소프트웨어융합대학 교수도 “전문적인 프로그래밍 지식이 없는 일반인도 악성코드를 만들 수 있게 됐다”며 “낮은 수준의 대규모 공격들은 많아질 수 있다”고 내다봤다.

현재 챗GPT는 “멀웨어를 작성해달라”는 식의 질문에는 응하지 않는다. 하지만 이용자가 “개발 공부를 하려고 한다” 등 나쁜 의도를 숨긴 채 우회 질문을 하면 얼마든지 원하는 답을 얻어낼 수 있다.

김명주 서울여대 정보학과 교수는 “AI는 지식을 제공하지만, 이용자의 의도를 파악하지 못한다. 인간의 고유한 특성인 양심이라는 게 없다 보니 궁극적으로 챗GPT가 범죄를 도와주는 셈이 돼버린다”고 말했다. 그는 “이용자 윤리라든지 이용자 규제에 대해서도 본격적인 논의를 시작해야 한다”고 강조했다.

경찰도 챗GPT를 통한 범죄 가능성을 예의주시한다. 경찰 관계자는 “아직 한국에서 챗GPT를 이용한 범죄가 보고된 건 없다”면서도 “(챗GPT 활용 범죄 가능성에 대해) 충분히 인지한 상태로 해외 사례를 가정해 어떻게 대응해야 할지 연구를 진행 중”이라고 말했다.

정신영 이가현 기자 spirit@kmib.co.kr

GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재 및 수집, 재배포금지