캐나다 금융감독당국(OSFI)이 국내 주요 은행과 보험사에 첨단 인공지능(AI) 모델인 앤트로픽의 '클로드 미토스(Claude Mythos)'를 비롯한 차세대 AI 기술이 금융권의 사이버 보안 위험을 크게 높일 수 있다고 경고한 것으로 확인됐다.

14일(현지 시각) 로이터통신이 정보공개 청구를 통해 확보한 자료에 따르면 OSFI는 지난 4월 금융권 최고기술책임자(CTO), 최고정보보호책임자(CISO), 최고위험관리책임자(CRO) 등을 대상으로 이메일을 발송해 AI 기술 발전에 따른 새로운 보안 위협에 대비할 것을 주문했다.

▲ "취약점 대응 시간 크게 단축"…AI가 보안 환경 바꿔

OSFI는 이메일에서 "앤트로픽 클로드 미토스와 같은 첨단 AI 모델은 위험을 완화할 수 있는 시간을 크게 단축시키고 있다"고 밝혔다.

이어 금융기관들이 기존보다 훨씬 빠른 속도로 보안 취약점을 발견하고 대응해야 한다며 위험 식별과 완화, 사고 대응 역량을 강화할 수 있는 보안 관리 체계를 마련해야 한다고 강조했다.

이는 AI가 사이버 공격 기법을 빠르게 고도화하면서 금융기관들이 기존 보안 체계만으로는 대응하기 어려운 환경이 조성되고 있다는 판단에 따른 것으로 분석됐다.

▲ 금융권 겨냥한 AI 공격 우려 확대

전 세계 금융 규제당국은 최근 첨단 AI 모델이 사이버 공격에 미칠 영향을 집중적으로 점검하고 있다.

보안 전문가들은 클로드 미토스가 시스템 취약점을 찾아내고 이를 악용하는 능력이 매우 뛰어난 AI 모델로 평가받고 있으며, 특히 오래된 전산 시스템을 운영하는 금융권에는 상당한 부담이 될 수 있다고 진단했다.

은행 시스템은 높은 안정성을 유지하는 대신 레거시(기존) 시스템 비중이 높은 경우가 많아 AI 기반 공격에 더욱 취약할 수 있다는 우려도 제기됐다.

▲ 일부 내용 비공개…보안 투자 확대 신호

이번에 공개된 이메일 일부 내용은 정보공개법 규정에 따라 삭제된 상태였다.

다만 금융당국이 특정 AI 모델을 직접 언급하며 위험성을 공식적으로 경고했다는 점은 캐나다 은행과 보험사들이 고객 보호를 위한 보안 투자 확대에 나설 가능성을 높이는 신호로 해석됐다.

금융권에서는 AI 기반 공격에 대응하기 위한 차세대 보안 시스템 구축과 보안 인력 확충이 더욱 중요해질 것이라는 전망도 나왔다.

앤트로픽[로이터/연합뉴스 제공]

▲ 로이터 질의 후 공개 지침 발표

OSFI는 로이터의 질의가 이뤄진 이후 생성형 AI와 에이전트형 AI 활용에 관한 공식 지침을 홈페이지에 공개했다.

OSFI는 "우리는 특정 기술 자체보다 금융기관이 해당 기술을 어떻게 관리하고 위험을 통제하는지에 초점을 맞추고 있다"며 기술 중립적이면서도 위험 중심의 감독 원칙을 유지하고 있다고 설명했다.

즉 AI 사용을 제한하기보다는 금융기관이 적절한 위험관리 체계를 구축하도록 유도하겠다는 입장을 재확인했다.

▲ 미·캐 금융당국, AI 사이버 위협 공동 대응

올해 4월 초 캐나다 주요 은행 경영진은 금융당국과 만나 클로드 미토스가 초래할 수 있는 사이버 위험을 논의한 것으로 알려졌다.

이는 미국에서도 스콧 베선트 재무장관과 당시 제롬 파월 연방준비제도(Fed) 의장이 주요 은행 최고경영자(CEO)들과 긴급 회의를 열고 AI 기반 사이버 공격 위험성을 경고한 직후 이뤄졌다.

캐나다 금융당국은 같은 달 29일 관련 경고 이메일을 금융회사 경영진에게 공식 발송했다.

▲ 은행권, AI 활용 확대와 보안 강화 병행

캐나다 주요 은행들은 이미 AI 활용을 적극 확대하고 있다.

로열뱅크오브캐나다(RBC), TD은행, BMO는 실험 단계에 머물렀던 AI 프로젝트를 실제 업무에 적용하며 챗봇 운영, 내부 업무 자동화, 외부 솔루션 의존도 축소 등을 추진하고 있다.

스코샤은행, CIBC, 내셔널은행 역시 다양한 AI 활용 계획을 공개하며 디지털 전환을 가속화하고 있다.

다만 현재 캐나다 은행 가운데 실제로 클로드 미토스를 활용하는 곳이 있는지는 확인되지 않았다.

▲ 금융권 "AI로 AI 대응" 전략 강화

캐나다은행협회는 회원사들이 금융 시스템 보호를 위해 막대한 보안 투자를 지속하고 있으며, OSFI의 사이버 위험 관리 및 사고 보고 기준도 충실히 준수하고 있다고 밝혔다.

브루스 로스 RBC 최고기술책임자(CTO)는 지난 6월 인터뷰에서 "클로드 미토스는 사이버 공격 환경이 완전히 바뀌고 있음을 보여주는 사례"라며 "새로운 취약점이 발견되는 즉시 공격 방식도 등장하는 만큼 조직들은 훨씬 신속하게 대응해야 한다"고 말했다.

그는 이어 "금융업계는 AI 공격에 대응하기 위해 자체 AI 기반 방어 체계를 구축하고 있으며 앞으로도 이러한 전략을 지속적으로 강화할 것"이라고 밝혔다.