파이브아이즈 AI 보안 경고, 그래서 나는 오늘 뭘 하나
안녕하세요, 깅글렛이에요.
5개국 정보기관이 AI 사이버 위협을 두고 한목소리로 경고를 냈어요. 그것도 “몇 년이 아니라 몇 개월” 안에 닥친다고요.
뉴스만 보면 좀 무섭게 들리는데, 이번엔 좀 깊이 봤어요. 그래서 정리하면, 이 경고의 실속은 “개인이 오늘 점검할 기본기 4가지”로 그대로 번역돼요.
겁주려는 글이 아니에요. 거대한 국가급 경고를 우리 눈높이로 풀고, 끝에 바로 쓸 체크리스트까지 담아볼게요.
5개국 정보기관이 한 성명을 낸 건 흔치 않아요
먼저 무슨 일인지부터요. 파이브아이즈(Five Eyes)는 미국·영국·캐나다·호주·뉴질랜드 5개국의 정보·사이버보안 동맹이에요. 이 다섯 나라의 사이버보안 당국 수장들이 2026년 6월 22일(현지시간) 공동 명의로 경고문을 냈어요.
📖 파이브아이즈란? 미국·영국·캐나다·호주·뉴질랜드 5개국이 정보를 함께 나누는 안보 동맹이에요. 냉전 때부터 이어진 오래된 협력체죠.
이게 왜 화제냐면, 5개국 정보동맹이 특정 기술 위협 하나를 두고 같이 성명을 내는 일이 드물거든요. 한국과 해외 보도 모두 “이례적 공동 경고”라고 적었어요. 미국 쪽에선 CISA(사이버보안·인프라보안국)와 NSA, 영국은 NCSC, 호주는 ACSC가 이름을 올렸고요.
핵심 메시지는 한 문장으로 압축돼요. “몇 년이 아니라 몇 개월(not years, it is months).” 기술 변화가 예전엔 수년에 걸쳐 일어났는데, 이제는 수개월 단위로 빨라진다는 거예요. 위험을 가정하는 기준도 몇 달이면 낡아버린다고 했고요.
공격에도, 방어에도“ — 한쪽만 보면 왜곡이에요
여기서 제가 제일 짚고 싶은 부분이에요. 이 경고는 “다 털린다”는 공포 선언이 아니에요. 양면 경고거든요.
성명 원문은 이렇게 적었어요. “최첨단 AI 모델이 공격과 방어 양쪽 사이버 역량을 근본적으로 바꿀 것으로 예상된다.” 공격만 세지는 게 아니라, 방어도 같이 강해진다는 거예요.
방어 쪽이 어떻게 좋아지냐면, AI로 취약점을 더 일찍 찾고, 소프트웨어 품질을 높이고, 이상 행동을 감시하고, 더 빨리 대응할 수 있어요. 그래서 뉴질랜드 매체는 성명의 결론을 “AI 위협에 맞서는 최선은 AI”라고 전했어요. 거꾸로 말하면, AI 방어 도입을 미루는 쪽이 오히려 위험에 더 노출돼요.
이 양면성은 예전 글에서도 다뤘어요. 오픈AI가 AI를 방어 도구로 쓰는 데이브레이크 이야기를 한 적이 있는데, 그것도 같은 맥락이에요. 그래서 오늘은 방어 도구 자랑이 아니라, 경고의 무게와 개인 행동에 집중해볼게요.
경고에 거론된 AI 모델, 어디까지가 사실일까요
성명과 보도가 ’프런티어급 사이버 역량’의 예로 든 모델이 있어요. 앤트로픽의 미토스(Mythos)와 페이블5(Fable 5), 그리고 오픈AI의 데이브레이크(Daybreak)예요.
📖 프런티어 AI란? 지금 기술의 최전선에 있는, 가장 앞선 성능의 AI 모델을 가리켜요. 일반에 풀린 모델보다 한 단계 위라고 보면 돼요.
미토스는 수십 년간 발견되지 않은 소프트웨어 취약점을 찾아낼 만큼 강력하다고 알려졌어요. 그래서 앤트로픽이 접근을 일부러 제한했고, 미국 정부도 6월 중순에 미국인 외 외국인의 미토스·페이블 사용을 막았어요. 한국에서도 지금은 못 쓰는 모델이에요.
다만 여기서 조심할 게 있어요. “수십 년 미발견 취약점을 찾는다” 같은 표현은 단일·홍보성 출처에서 나온 거라, 구체 성능 수치까지 단정하긴 일러요. 그래서 저는 “취약점 자동 탐지에 강하다”는 정성 서술까지만 두고 넘어갈게요. 모델명도 한글 보도가 ‘미토스’·’미소스’로 갈렸는데, 영문 ’Mythos’가 정확해요.
경고’와 ’확정’은 달라요 — 사실과 추정 가르기
이 글에서 제일 중요한 구분이에요. 성명이 말한 것 중 어디까지가 지금 일어나는 사실이고, 어디부터가 예상인지 갈라야 해요.
먼저 ’지금 이미 일어나는 일’이에요. AI로 만든 피싱 메일·문자가 정교해지고 양도 늘었어요. 딥페이크 음성·영상으로 사람을 사칭하는 사고도 늘고 있고요. 보안 패치가 나오기 전에 취약점을 악용하는 시간도 짧아졌어요. 이건 추세로 여러 보고가 가리켜요.
📖 딥페이크란? AI로 진짜 같은 가짜 얼굴·목소리를 만들어내는 기술이에요. 다른 사람 음성을 흉내 내 전화 사기에 쓰이기도 해요.
다음은 ’수개월 내 예상되는 일’이에요. 프런티어 모델이 방어벽을 자동으로 뚫는 수준까지 대중화된다는 부분은 성명도 “예상(anticipated)“이라고 적었어요. 확정된 미래가 아니라 경고예요. 그러니 “몇 개월 안에 다 뚫린다”가 아니라 “그럴 수 있으니 지금 대비하자”로 읽는 게 맞아요.
피싱·딥페이크 급증을 두고 1265%, 680% 같은 숫자가 돌기도 하는데, 이건 보고서마다 표본과 기준이 달라요. 그래서 특정 수치를 단정하진 않을게요. “급증하고 있다”는 추세까지만요. 참고로 적성국(중국·러시아·북한) 연계라는 해석은 한국 언론이 부연한 거예요. 성명 본문 자체는 특정 국가명을 적시하지 않았어요.
그래서 오늘 나는 뭘 하나 — 개인 4가지 점검
여기가 이 글의 착지점이에요. 성명 자체는 기업·정부 같은 조직이 1차 대상이에요. 개인 체크리스트를 직접 준 건 아니고요. 그런데 성명이 조직에 권한 원리(공격 표면 줄이기·패치 빠르게·신원 통제·기본기)는 개인 계정과 기기에도 그대로 옮겨져요.
조직판이 “패치 가속·신원 강화”라면, 개인판은 “업데이트 미루지 말기 + 패스키”예요. 같은 원리, 다른 규모죠. 아래는 미국 CISA가 권하는 온라인 안전 습관이에요. 특정 백신이나 VPN 같은 제품 이야기는 하나도 없어요. 무료로 누구나 할 수 있는 기본기거든요.
📖 패스키(passkey)란? 비밀번호 없이 지문·얼굴·기기로 로그인하는 방식이에요. 가짜 사이트에선 작동하지 않아서 피싱에 강해요.
-
계정마다 길고 다른 비밀번호 + 비밀번호 관리자 쓰기 비밀번호를 돌려쓰면 한 곳만 털려도 줄줄이 뚫려요. 관리자 앱이 길고 무작위인 비밀번호를 만들고 저장해줘요.
-
다중인증(MFA)이나 패스키 켜기 비밀번호 외에 한 단계를 더 두는 거예요. 가능하면 패스키가 좋아요. SMS 문자 인증은 번호 탈취에 약하니, 인증앱이나 패스키로 바꾸는 걸 권해요. 구글·MS·애플·깃허브 같은 데가 이미 패스키를 지원해요.
-
피싱 의심하고 신고하기 AI로 더 그럴듯해진 메일·문자·딥페이크 음성이 개인을 노리는 1순위 경로예요. 첨부나 개인정보 요구가 오면, 의심되면 다른 채널로 본인 확인을 하세요.
-
소프트웨어 업데이트 바로 하기 OS·앱·브라우저 보안 패치를 미루지 마세요(자동 업데이트 켜두면 편해요). 취약점 악용 창이 짧아져서, 미루는 시간이 곧 노출 시간이거든요.
여기에 하나 더하면, 안 쓰는 계정이나 불필요한 앱 권한을 줄이는 것도 좋아요. 성명이 말한 “공격 표면 축소”의 개인판이에요. 무서운 특별 대응이 아니라 기본의 재확인이라는 게 핵심이에요. 성명도 “기본을 제대로 하는 데서 성패가 갈린다(getting the basics right)“고 했고요.
깅글렛 한줄평
💬 무서운 뉴스로 끝내지 말고, 오늘 비밀번호 관리자랑 패스키 둘 중 하나라도 켜보세요. 거대한 국가급 경고가 개인한테 남기는 숙제는 딱 그 정도로 단순하거든요.
마무리
겁주는 글로 읽히지 않았으면 했어요. 5개국이 한목소리로 낸 경고지만, 우리가 할 일은 늘 하던 기본기를 지금 한 번 점검하는 거예요.
여러분은 4가지 중 몇 개나 켜두셨나요? 아직 안 한 게 있다면 오늘 하나만 켜보시는 걸 추천해요. 다음 글에서도 AI·테크 소식을 쉽게 풀어서 찾아올게요.
※ 본 글은 2026년 6월 기준 정보를 바탕으로 작성됐어요. 보안 권고·기능은 추후 바뀔 수 있어요.