AI가 취약점을 말려버리면, 수사기관은 다시 백도어를 요구한다

암호학자 매튜 그린은 고향 볼티모어에서 열린 유즈닉스 보안 학회를 마친 뒤, 평소 피하던 AI 이야기를 꺼냈다. 그의 걱정은 역설적이다. AI가 소프트웨어를 '너무 안전하게' 만들어, 미국의 수사·정보기관이 순식간에 능력의 상당 부분을 잃는 이른바 '고잉 다크(Going Dark)' 상황에 빠질 수 있다는 것이다. 그리고 이는 그 기관들만의 문제가 아니라, 보안과 프라이버시를 중시하는 모든 사람에게 파장을 미친다고 본다.

감청의 역사가 뒤집히는 순간

배경을 이해하려면 최근 20년의 변화를 짚어야 한다. 드라마 '더 와이어'가 그린 2002년의 감청은 공중전화와 대포폰을 도청하는 방식이었고, 이는 1989년 경찰에게도 낯설지 않았을 풍경이다. 그러나 2000년대 후반 스마트폰과 문자가 퍼지면서 판이 바뀌었다. 2010년 애플이 사용자 암호에서 파생한 키로 아이폰 저장소를 암호화하기 시작했고(안드로이드도 곧 뒤따랐다), 이듬해 아이메시지에 종단간 암호화가 들어갔다. 2014년 신생 왓츠앱은 6억 사용자를 모았고, 2016년에는 10억에 가까운 사용자가 기본값으로 암호화된 메시지와 통화를 쓰게 됐다. 통화에서 문자로, 다시 암호화된 데이터로 넘어가는 이 이동은 대단히 빠르게 진행됐다.

백도어 요구가 잠들었던 이유

FBI는 이를 방관하지 않았다. 2014년 코미 국장은 '고잉 다크' 이니셔티브를 내걸고 사업자가 무엇을 할 수 있는지, 또는 하도록 강제할 수 있는지를 두고 논의를 시작했다. 2016년에는 총격범의 잠긴 아이폰을 두고 애플에 접근 지원을 명령했지만 애플이 거부하며 법정 다툼으로 번졌다. 교착을 깬 것은 뜻밖이었다. 한 외부 업체가 애플의 도움 없이도 폰을 해킹할 수 있다고 나선 것이다.

이 사건은 이후 10년의 축소판이 됐다. 기관들은 여전히 '예외적 접근(백도어)'을 요구했지만 절박함은 사라졌다. 필요하면 그레이키 같은 잠금 해제 도구나 NSO의 페가수스 같은 원격 익스플로잇을 구매하면 됐기 때문이다. 애플과 구글은 취약점을 알게 되는 즉시 막아가며 방어했지만, 공격 측 취약점 사냥꾼들은 꾸준히 우위를 지켰다. 시장이 공급을 대주는 한 백도어 논쟁은 사실상 겨울잠에 들었다. 그린은 이를 원칙에 따른 신중함이라기보다 시장이 그저 공급에 가격을 매긴 결과에 가깝다고 본다.

AI가 '저렴한 취약점'을 말려버린다

그린이 보는 전환점은 AI다. 그는 올해 4월 앤스로픽이 취약점 발견에 유난히 능한 '미토스(Mythos)' 모델을 발표했고, 미 정부가 수출을 일시 차단해 자국 기관과 신뢰 벤더로 접근을 제한했다고 전한다. 다만 오픈AI와 중국의 Z.ai·문샷 같은 오픈웨이트 진영이 곧 비슷한 능력을 보이며, 취약점 발견이 한 연구소의 독점물이 아님이 드러났다는 것이 그의 관찰이다.

핵심은 공격이 아니라 방어 쪽 변화다. 방어자들은 수십 년치 밀린 버그를 AI로 찾아 메우고 있고, CI 파이프라인 전체가 사람 손이 닿기 전에 AI 취약점 스캐닝을 거치도록 재편되고 있다. 모든 버그를 찾을 수는 없겠지만—코드의 버그 개수를 세는 것조차 계산 불가능에 가깝다—현실적으로 '쓸 만한 버그'의 총량에는 곧 천장이 생길 가능성이 크다. 그린의 예측은 향후 2년 안에 잘 관리되는 주요 소프트웨어에서 원격 익스플로잇 가능한 버그가 고갈된다는 것이다.

다시 깨어날 백도어와 자기 파괴

보안 입장에선 반가운 일이지만, 수사·정보기관에는 악몽이다. 잘 관리된 기기와 소프트웨어 전반에서 2010년 이후 처음으로 진짜 '고잉 다크'를 체감하게 된다는 뜻이다. 저렴한 취약점이 사라지면 백도어 수요가 다시 진지하게 살아나고, 기업들은 예외적 접근이 가능하도록 시스템을 재설계하라는 거대한 압박을 받는다. 영국처럼 이 논쟁이 더 험악하게 자란 곳도 있다. 문제는 이렇게 심긴 백도어가 대개 그것을 요구한 나라에만 적용된다는 점이다. 결국 미국이 스스로의 시스템을 약화시키는 데 주로 쓰이고, 그 틈을 외국 적성국이 파고들 여지가 생긴다. 인프라 보안을 이제 막 손에 넣기 시작한 시점의 자해인 셈이다.

그린의 시나리오에는 검증되지 않은 전제가 많다. '미토스' 발표나 수출 규제, 2년 내 버그 고갈 같은 대목은 확정된 사실이 아니라 저자의 관찰과 추정이며, 그 자신도 뾰족한 해법이 없다고 인정한다. 그럼에도 실무자가 새길 지점은 분명하다. AI 기반 취약점 스캐닝을 배포 이전 단계에 넣는 흐름은 이미 방어자의 표준으로 자리 잡고 있고, 조직의 보안 수준은 이 도구를 얼마나 규율 있게 쓰느냐로 갈린다. 그린은 애플처럼 품질에 집중하는 곳은 AI로 취약점을 줄여가겠지만, 수정을 서두르다 오히려 'AI 슬롭' 버그를 새로 심는 기업이 더 많을 것이라며 마이크로소프트를 콕 집는다. 도구가 좋아진다고 결과가 저절로 좋아지지는 않는다는 경고다.