Google, AI가 자원 열세 공격자에 국가급 공격 역량 부여 경고

AI 지원 공격으로 자원 열세 공격자까지 국가급 위협 수준 확산

Google Threat Intelligence Group(GTIG)은 2026년 6월 UNC6508 등 PRC·이란·DPRK 연계 위협그룹이 학술·의료·군사 연구기관을 겨냥해 AI를 공격 확대 수단으로 사용하는 다년 간 사이버 첩보전을 수행했다고 경고한다.
PRC 연계 Basin Castle·Ravine Castle, 이란 연계 Calanque Ion(APT42), DPRK 연계 Midnight Neptune(UNC1069)은 LLM과 Gemini를 이용해 표적 프로파일링, 소셜 엔지니어링 메시지 작성·번역, 맞춤형 악성코드 생성, 암호화폐 탈취까지 공격 전 단계에 AI를 통합하여 공격 효율과 정교함을 크게 높인다.
PRC 일부 그룹은 AI 기반 개발 도구를 실험해 취약점 탐지부터 공격 후 활동까지 자동화된 ‘익스플로잇·포스트 익스플로잇 파이프라인’을 구축하려 하며, Ravine Castle은 Gemini로 정보수집·능력 개발·영향력 작전에 더해 정치적 선전물과 익명화된 데이터 유출 연구까지 수행해 사이버와 여론전을 결합한다.
GTIG는 2026년 6월 UNC6508의 다년 간 사이버 첩보 캠페인을 공개했고, Ravine Castle·Basin Castle·Calanque Ion·Midnight Neptune 등 국가 지원 그룹이 Gemini와 LLM을 공격 전 주기에 활용하며 OSINT 조사, 이메일 주소 식별, 지역 언어 번역, 맞춤형 악성코드 제작을 통해 인력·예산이 적은 조직도 국가급 공격 역량을 보유하게 되는 흐름을 보여준다.
Google은 공격자 식별 시 관련 프로젝트와 계정을 비활성화해 작전을 차단하고, 중국의 ‘모델 추출(디스틸레이션)’ 공격에 대응해 무단 ‘학생 모델’ 성능을 실시간 저하하는 방어를 배치하는 한편 AI 악용 탐지·차단에 나서지만, 소프트웨어 취약점이 계속 새로 생기는 구조 탓에 공격자는 AI로 속도·규모를 키우며 적응해온 기존 사이버전에 더 많은 변수만 추가된다.
국가 지원 공격자가 Gemini·LLM을 통해 첩보·암호화폐 탈취·선전·데이터 유출을 결합하는 만큼, 한국은 AI 기반 공격 전 주기 대응 프레임워크와 모델 추출 방어정책, 암호화폐·선거·연구기관 보호 규제, 국내 LLM 안전기준 마련으로 자원 열세 공격자의 국가급 역량 확보에 선제 대응할 필요가 있다.