브루스 슈나이어 “AI는 보안뿐 아니라 세금·규제까지 해킹할 수 있다”

• 앤트로픽의 AI 모델 미토스가 소프트웨어 취약점을 너무 잘 찾는다는 얘기가 나오면서, 보안 업계의 긴장감이 확 올라간 상태임

  • 모질라와 팔로알토 네트웍스 같은 조직이 미토스 활용 경험을 공유하면서 “이거 방어에도 좋지만 공격에도 너무 좋은 거 아냐?”라는 분위기가 커짐
  • 모질라는 미토스로 파이어폭스 취약점 271개를 찾아 수정했다고 함. 숫자만 보면 방어자 입장에선 꽤 강력한 자동화 도구임

• 브루스 슈나이어는 미토스 논란을 보면서도 앤트로픽의 설명을 100% 그대로 받아들이진 않음

  • 앤트로픽은 미토스를 “너무 위험해서 공개할 수 없다”는 식으로 설명했지만, 슈나이어는 운영 비용 문제도 봐야 한다고 지적함
  • 즉, 진짜 위험해서 제한한 것일 수도 있지만, 너무 비싸서 일반 공개할 여력이 없었을 가능성도 있다는 얘기임

• 그렇다고 슈나이어가 AI 보안 위협을 과소평가하는 건 전혀 아님

  • 최신 생성형 AI는 앤트로픽뿐 아니라 오픈AI, 오픈소스 모델까지 포함해 취약점을 찾고 악용하는 능력이 계속 좋아지고 있음
  • 공격자는 이걸로 핵심 시스템에 침입하고, 랜섬웨어를 심고, 데이터를 훔치고, 시스템을 장악할 수 있음
  • 반대로 방어자도 AI를 써서 취약점을 자동으로 찾고 고치는 흐름으로 갈 가능성이 큼. 슈나이어는 이게 개발 프로세스의 표준이 될 거라고 봄

• 슈나이어가 진짜 무섭다고 보는 지점은 보안 바깥임. 세법과 규제도 일종의 알고리즘처럼 분석될 수 있다는 거임

  • 세법은 컴퓨터 코드는 아니지만, 입력과 출력이 있는 규칙 체계임
  • 소프트웨어에 취약점이 있듯이 세법에는 세금 허점이 있고, 이를 활용하는 절세 전략이 있음
  • 보안에서 블랙햇 해커가 허점을 찾는다면, 세금 영역에서는 변호사와 회계사가 그 역할을 한다는 비유가 나옴

• 슈나이어는 투자은행들이 이미 AI로 세법 허점을 찾고 있을 가능성을 거론함

  • 미국, 영국 같은 산업화된 국가의 세법을 AI에 넣고 절세 전략을 찾아보라고 시킬 수 있다는 얘기임
  • AI가 허점 10개를 찾을지, 100개를 찾을지, 1000개를 찾을지는 아무도 모름
  • 여러 나라 세법을 엮어 세금을 줄이는 훨씬 정교한 전략까지 나올 수 있다는 점이 꽤 섬뜩함

• 이 패턴은 세금에만 머물지 않음. 환경 규제, 식품 안전 규제 같은 복잡한 규정도 같은 방식으로 털릴 수 있음

  • AI가 수많은 아이디어를 쏟아내면, 인간 전문가가 그중 실제로 쓸 수 있는 것을 골라 법적으로 포장할 수 있음
  • 결국 돈과 조직력이 있는 쪽이 규칙의 빈틈을 더 빠르게 찾아내고, 더 오래 활용할 가능성이 커짐

• 소프트웨어보다 제도 해킹이 더 위험할 수 있다는 말도 나옴. 이유는 패치 속도 차이임

  • 소프트웨어 회사는 심각한 취약점이 나오면 며칠 안에 패치를 낼 수 있음
  • 세법이나 규제는 고치는 데 몇 년이 걸릴 수 있고, 그 과정은 정치적이며 로비스트가 개입함
  • 그래서 AI가 찾아낸 제도적 허점은 훨씬 오래 살아남을 수 있음

• 슈나이어의 결론은 꽤 간단함. 지금 시스템은 인간 속도에 맞춰 설계됐다는 거임

  • 산업혁명이 육체 노동을 기계로 대체했다면, AI 혁명은 두뇌 노동을 기계로 대체하고 있음
  • 세금 제도, 규제 체계, 보안 시스템 모두 인간이 찾고 인간이 고치는 속도를 전제로 만들어졌음
  • 이제 AI가 그 전제를 깨기 시작했고, 적응은 어렵지만 피할 선택지는 없다는 얘기임

---

기술 맥락

• 여기서 중요한 선택은 AI를 단순한 보안 도구가 아니라 복잡한 규칙 시스템 분석기로 보는 관점이에요. 소프트웨어 취약점 탐지와 세법 허점 탐지는 겉보기엔 달라도, 둘 다 큰 규칙 집합 안에서 예외와 빈틈을 찾는 문제거든요.

• 미토스 사례가 강하게 보이는 이유는 방어와 공격이 같은 기술을 공유하기 때문이에요. 모질라는 파이어폭스 취약점 271개를 고치는 데 썼지만, 같은 능력을 공격자가 쓰면 패치 전 시스템을 먼저 찌르는 도구가 될 수 있어요.

• 제도 쪽이 더 까다로운 건 배포 주기가 완전히 다르기 때문이에요. 코드 패치는 며칠 단위로 나올 수 있지만, 세법이나 규제는 정치적 합의와 로비를 거쳐야 해서 몇 년이 걸릴 수 있거든요.

• 그래서 이 논점은 개발자에게도 꽤 현실적이에요. 앞으로 AI 안전성은 모델이 위험한 답변을 하느냐만의 문제가 아니라, 시스템이 AI 속도의 탐색과 악용을 견딜 수 있게 설계됐느냐의 문제로 바뀌고 있어요.