북한의 킴스키(Kimsuky) 해킹 그룹이 인공지능(AI) 기술을 악성코드 개발 및 공격 기법에 통합하는 방안을 연구하며 로컬 AI 도구를 구축하고 시험한 사실이 밝혀졌다고 한국 사이버보안 업체 지니언스(Genians)가 월요일 밝혔습니다.
이 그룹은 생성형 AI를 활용해 미끼 문서를 제작한 것으로 보입니다. 지니언스는 킴스키가 기존 AI 모델을 공격 활동에 도입하는 역량을 개발하고 있다고 밝혔습니다.
킴스키 로컬 AI 도구 내부 살펴보기
킴스키는 북한 정찰총국 산하의 위협 그룹입니다. 미국 재무부는 2023년에 해당 그룹을 국가통제 첩보 부대로 제재했습니다.
조사관들은 킴스키가 올라마(Ollama), GPT4올(GPT4All), MSTY 등 여러 AI 모델을 로컬 환경에서 실행하기 위한 도구를 설치 및 구성한 정황을 확인했습니다.
지니언스는 로컬 처리 방식이 민감 정보나 탈취한 자료가 외부 AI 서비스에 전달될 위험을 낮출 수 있다고 설명했습니다. 연구진은 또한 AI 모델이 선택된 문서에서 정보를 추출할 수 있도록 돕는 RAG(검색 증강 생성)도 확인했다고 밝혔습니다.
지니언스는 인프라 내에서 AI 에이전트 프레임워크, 음성-텍스트 변환 소프트웨어, AI 기반 코딩 도구인 커서(Cursor)도 발견했습니다. 해당 도구들은 AI를 악성코드 개발, 데이터 분석, 공격 자동화에 통합하려는 시도를 지원할 수 있다고 회사는 밝혔습니다.
“이러한 발견을 바탕으로, 국가 지원 해킹 조직 킴스키와 연계된 위협 행위자가 실제 위협 활동, 즉 악성코드 개발 및 공격 기술 고도화에 AI 기술을 적극 도입하는 방법을 실험에 그치지 않고 지속적으로 연구해 온 것으로 평가됩니다.” – 보고서
X에서 저희를 팔로우하시면 최신 뉴스를 실시간으로 받아보실 수 있습니다
암호화폐 미끼에서 자동화까지
해당 그룹은 AI로 생성된 것으로 추정되는 금융 및 암호화폐 관련 미끼 문서를 사용한 것으로 알려졌습니다. 이 파일들은 투자 보고서를 모방했습니다.
다른 북한 연계 조직들도 AI를 암호화폐 중심 공격에 결합해, 임직원을 노렸습니다. 관련 조직들은 2025년에 약 20억 2천만 달러 상당의 암호화폐를 탈취했다고 한 업계 추정치는 밝혔습니다.
지니언스는 두 가지 잠재 위험성을 지적했습니다. RAG는 탈취한 문서에서 유용한 정보를 추출하는 데 도울 수 있으며, 음성-텍스트 도구는 탈취한 음성 데이터를 검색 가능한 문자로 변환할 수 있습니다.
그러나 지니언스는 킴스키의 로컬 AI 활용이 여전히 기술 적용 방안 연구 및 관련 지식 습득에 집중되어 있다고 평가했습니다. 연구진은 해당 그룹이 자체 AI 모델을 직접 학습시킨 정황은 발견하지 못했습니다.
유튜브 채널을 구독하시면 리더 및 기자들의 전문가 인사이트를 시청하실 수 있습니다
