최근 생성형 AI와 초고성능 AI 모델의 급격한 발전은 금융권에 편리함을 가져다주었지만, 동시에 강력한 부메랑이 되어 돌아왔다. 해커들이 AI를 활용해 악성코드를 자동으로 생성하고, 정교한 피싱 메일을 대량으로 유포하는 등 사이버 공격의 ‘속도’와 ‘지능’이 차원이 다른 수준으로 진화했기 때문이다.
이러한 상황에서 KB금융그룹(회장 양종희)이 들고 나온 ‘AI 대 AI(AI vs AI)’ 방어 전략은 단순히 보안 솔루션을 도입하는 차원을 넘어, 금융권 보안 패러다임의 근본적인 전환을 시도하고 있다는 점에서 주목받고 있다.
‘사람’ 중심에서 ‘AI 에이전트’로: 보안의 자동화·실전화
그동안 금융권의 모의해킹이나 보안 점검은 화이트해커 등 ‘전문 인력’의 역량에 크게 의존해 왔다. 그러나 인력 중심의 점검은 시간과 비용의 한계로 인해 상시적인 위협 대응에 취약하다는 약점이 있었다.
KB금융은 이를 ‘AI 에이전트’ 도입으로 돌파했다. 자체 개발 및 외부 전문기관의 AI 에이전트를 동시에 투입해 실제 고도화된 AI 공격과 다름없는 ‘실전형 점검 체계’를 구축한 것이다.
24시간 보안 모니터링 체계를 구축해 AI 에이전트와 RPA(로봇프로세스자동화)를 결합해 이상징후 포착부터 정보유출 차단까지의 전 과정을 자동화했다.
또 AI를 활용한 악성메일 대응 훈련 등 상시적인 피싱 방어 체계를 가동함으로써, 보안 공백을 최소화하고 대응 속도를 끌어올리고 있다.
금융권 ‘망분리 완화’ 흐름 겨냥한 ‘제로 트러스트’ 선제 도입
현재 금융권은 정부 주도의 규제 완화에 발맞춰 기존의 경직된 망분리 정책에서 벗어나 클라우드와 생성형 AI 활용을 확대하는 추세다. 문제는 망이 열릴수록 보안 위협도 기하급수적으로 늘어난다는 점이다.
KB금융은 ‘절대 신뢰하지 않고 항상 검증한다’는 ‘제로 트러스트(Zero Trust)’ 원칙을 그룹 전반에 선제적으로 확대 적용하며 이에 대응했다. 특히 그룹 클라우드 환경에 대한 ‘제로트러스트 3단계’ 구축을 완료한 점은 금융업권에서 가장 선제적인 구축 사례로 평가받는다.
여기에 수립된 AI 거버넌스를 바탕으로 AI 서비스의 수명주기 전반(31개 위험 항목)을 통제하고, 금융보안원과 협력해 ‘AI 레드티밍(사이버 취약점 공격 전문팀)’을 가동하는 등 신기술 도입에 따른 리스크 관리 체계를 제도화했다.
모의침투 기반 ‘그룹 사이버보안센터’의 시너지
KB금융이 선보인 ‘그룹 사이버보안센터’는 창과 방패의 조직적 융합을 보여주는 대목이다. 모의침투 기반의 사전 예방 체계를 내걸고, 공격자 관점에서 취약점을 찾아내는 ‘레드팀’과 이를 막아내는 ‘블루팀(통합보안관제)’을 하나의 순환 구조로 묶었다.
"취약점 발견 → 검증·개선 → 재검증" 이 구조를 통해 전 계열사의 외부 노출 자산을 상시 점검하고, 공격표면관리(ASM)를 통해 해커가 노릴 만한 구멍을 사전에 메운다는 전략이다.
특정 계열사만의 보안이 아닌, 그룹 전체를 아우르는 공동대응 체계를 정착시켰다는 점에서 진정한 의미의 ‘통합 보안’을 구현했다는 평가다.
KB금융 관계자는 "AI 기반 사이버 위협은 더 이상 잠재적 리스크가 아닌 현실적 리스크"라며 "KB금융은 선제적으로 구축·운영하고 있는 AI 기반 보안대응 체계를 중심으로 안전한 금융 환경을 제공하기 위해 최선을 다할 것"이라고 전했다.
힌편 디지털 금융 시대에 보안 사고는 단순히 시스템 마비를 넘어 기업의 생존과 직결되는 ‘신뢰의 붕괴’를 의미한다. KB금융의 이번 전략은 고도화되는 AI 공격 시나리오를 예측하고, 이를 방어하기 위해 똑같이 고도화된 AI 기술을 선제적으로 현업에 적용했다는 점에서 금융권 보안의 이정표를 제시하고 있다.
