미국 국가안보국(NSA)과 사이버보안·인프라보안국(CISA), 연방수사국(FBI) 등 미 정부기관들이 공격자들이 AI를 이용해 지멘스(Siemens) S7 프로그래머블 로직 컨트롤러(PLC)를 겨냥한 익스플로잇 스크립트를 만들고 있다고 경고했다. AI가 산업제어시스템(ICS)을 공격하는 데 필요한 기술 수준과 개발 시간을 크게 낮추고 있다는 설명이다.
더디코더(The Decoder)는 8월 20일 미 기관들의 공동 권고문을 인용해 이같이 보도했다. 공동 권고문은 AI를 활용한 공격 스크립트 생성이 위협 행위자의 역량 변화로 이어지고 있으며, 작동하는 ICS 공격 스크립트와 악성 도구를 만드는 데 필요한 전문지식과 시간을 크게 줄였다고 지적했다.
공격자들은 공개된 취약점 및 보안 약점 정보를 수집하고, 인터넷에 노출돼 공격 가능한 PLC를 찾아낸 뒤 AI가 생성한 스크립트로 공격에 나설 수 있다. AI를 이용하면 추가 공격 경로를 빠르게 활용하고 방어 조치에 맞춰 공격 방식을 바꾸는 것도 가능하다고 미 기관들은 설명했다.
인터넷에 직접 노출된 PLC는 특히 익스플로잇 위험이 크다고 권고문은 밝혔다. 영향이 우려되는 분야로는 에너지, 수도, 화학, 제조업이 거론됐으며, 미 기관들은 이번 위협을 현재 진행 중인 위협으로 분류했다.
다만 AI 모델이 산업 운영기술(OT) 시스템을 독자적으로 해킹하는 수준에 이르렀다는 의미는 아니다. 영국 AI 안전연구소가 진행한 모의실험에서는 지금까지 AI 모델이 OT 시스템을 스스로 침해하는 데 실패했으며, 장치 자체에서 막힌 것이 아니라 그 앞단의 IT 시스템을 공략하는 과정에서 중단된 것으로 나타났다.
미 기관들의 공동 권고문 전문과 대응 완화 방안은 PDF 문서로 공개돼 있다. 이번 경고는 AI가 공격 코드를 직접 생성할 수 있다는 점뿐 아니라, 공개 정보와 인터넷 노출 장비를 결합해 산업시설을 겨냥하는 공격의 진입장벽을 낮출 수 있다는 점을 함께 제시했다.