데일리 TOP10
한국 금융권 해킹에 쓰인 中 AI 도구 '아르텍스' 공개 개발 전면 중단
뉴스보이
2026.10.10. 12:00
뉴스보이
2026.10.10. 12:00
깃허브 페이지 삭제 조치에도 기존 배포본 회수 불가에 따른 보안 우려
1
미 보안업체 크라우드스트라이크는 국내 7개 금융사를 노린 해킹 공격에 중국산 AI 침투 도구 아르텍스가 쓰였다고 분석함.
2
이에 개발자 오텀 27은 도구 악용을 이유로 아르텍스의 추가 업데이트를 중단하고 비공개 소스로 전환하겠다고 밝힘.
3
개발자는 사이버 공격 악용이 본래 의도에 어긋난다며, 도구를 활용한 법과 규제 위반 행위에 책임지지 않는다고 주장함.
4
현재 개발자 플랫폼 깃허브에서 아르텍스 관련 페이지는 삭제되어 공개 배포가 전면 중단된 상태임.
5
하지만 유지·보수 중단에도 이미 다운로드된 프로그램 사본의 회수나 사용 차단은 불가능해 추가 공격 위험이 남아있음.
공개 중단된 AI 해킹 도구와 남겨진 보안 과제
아르텍스는 어떤 도구였나
개발자의 면책 주장은 왜 나왔나
공개 중단에도 위협이 남는 이유
아르텍스는 어떤 도구였나
•
아르텍스는 시스템의 보안 취약점을 점검하기 위해 대규모 언어모델과 결합하여 자율적으로 침투 경로를 탐색하도록 설계된 보안 도구입니다. 이 프로그램은 오픈소스 라이선스인 AGPL-3.0을 적용하여 개발자 플랫폼에서 누구나 이용할 수 있도록 공개되었습니다.
•
인공지능 에이전트가 공격 대상을 스스로 분석하고 다양한 보안 도구를 직접 실행하도록 설계되었습니다. 비인가 공격을 막기 위한 관리자 사전 승인 장치를 갖추었으나 소스코드가 공개된 탓에 외부에서 손쉽게 수정되어 악용되었습니다.
개발자의 면책 주장은 왜 나왔나
•
개발자가 책임 면제를 주장하는 배경에는 오픈소스 소프트웨어 배포에 적용되는 고유한 계약 조항과 법적 기준이 자리 잡고 있습니다. 아르텍스에 적용된 라이선스는 도구를 사용해 발생한 손해나 법적 문제에 대해 개발자가 어떠한 보증과 책임도 지지 않는다는 점을 기본적으로 명시하고 있습니다.
•
각국의 사이버범죄 법률 체계에서도 침투테스트 프로그램은 방어와 공격에 모두 쓰일 수 있는 이중용도 도구로 분류됩니다. 따라서 도구 제작자가 실제 공격자와 사전에 공모했거나 고의로 범죄를 도왔다는 점이 입증되지 않으면 형사 처벌을 내리기 어렵습니다.
•
실제로 유럽연합의 사이버복원력법과 같은 국제 규제에서도 비영리 오픈소스 개발자는 소프트웨어 취약점 책임 대상에서 제외되고 있습니다. 개발자 오텀 27 역시 이러한 법적 기준을 바탕으로 악용 행위에 책임을 지지 않는다고 주장하며 비공개 소스 전환을 선언했습니다.
공개 중단에도 위협이 남는 이유
•
개발자가 깃허브 페이지를 삭제했더라도 이미 배포된 프로그램 사본을 회수하거나 실행을 차단하는 것은 불가능하기 때문입니다. 신규 사용자의 접근은 어려워졌지만 이미 도구를 확보한 공격자는 상용 대규모 언어모델과 결합해 추가 공격을 감행할 수 있습니다.
•
실제로 이번 사태에서 공격자는 홍콩 인프라 등 2계층 서버를 구축하고 외부와 연결된 업무 시스템을 노려 국내 7개 금융사의 정보를 빼냈습니다. 고객과 임직원 정보가 유출된 상황에서 기존 사본을 악용한 유사 사이버 공격의 위험은 여전히 해소되지 않고 있습니다.
아르텍스는 어떤 도구였나
•
아르텍스는 시스템의 보안 취약점을 점검하기 위해 대규모 언어모델과 결합하여 자율적으로 침투 경로를 탐색하도록 설계된 보안 도구입니다. 이 프로그램은 오픈소스 라이선스인 AGPL-3.0을 적용하여 개발자 플랫폼에서 누구나 이용할 수 있도록 공개되었습니다.
•
인공지능 에이전트가 공격 대상을 스스로 분석하고 다양한 보안 도구를 직접 실행하도록 설계되었습니다. 비인가 공격을 막기 위한 관리자 사전 승인 장치를 갖추었으나 소스코드가 공개된 탓에 외부에서 손쉽게 수정되어 악용되었습니다.
개발자의 면책 주장은 왜 나왔나
•
개발자가 책임 면제를 주장하는 배경에는 오픈소스 소프트웨어 배포에 적용되는 고유한 계약 조항과 법적 기준이 자리 잡고 있습니다. 아르텍스에 적용된 라이선스는 도구를 사용해 발생한 손해나 법적 문제에 대해 개발자가 어떠한 보증과 책임도 지지 않는다는 점을 기본적으로 명시하고 있습니다.
•
각국의 사이버범죄 법률 체계에서도 침투테스트 프로그램은 방어와 공격에 모두 쓰일 수 있는 이중용도 도구로 분류됩니다. 따라서 도구 제작자가 실제 공격자와 사전에 공모했거나 고의로 범죄를 도왔다는 점이 입증되지 않으면 형사 처벌을 내리기 어렵습니다.
•
실제로 유럽연합의 사이버복원력법과 같은 국제 규제에서도 비영리 오픈소스 개발자는 소프트웨어 취약점 책임 대상에서 제외되고 있습니다. 개발자 오텀 27 역시 이러한 법적 기준을 바탕으로 악용 행위에 책임을 지지 않는다고 주장하며 비공개 소스 전환을 선언했습니다.
공개 중단에도 위협이 남는 이유
•
개발자가 깃허브 페이지를 삭제했더라도 이미 배포된 프로그램 사본을 회수하거나 실행을 차단하는 것은 불가능하기 때문입니다. 신규 사용자의 접근은 어려워졌지만 이미 도구를 확보한 공격자는 상용 대규모 언어모델과 결합해 추가 공격을 감행할 수 있습니다.
•
실제로 이번 사태에서 공격자는 홍콩 인프라 등 2계층 서버를 구축하고 외부와 연결된 업무 시스템을 노려 국내 7개 금융사의 정보를 빼냈습니다. 고객과 임직원 정보가 유출된 상황에서 기존 사본을 악용한 유사 사이버 공격의 위험은 여전히 해소되지 않고 있습니다.
#아르텍스
#크라우드스트라이크
#깃허브
#오텀 27
#AI
이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다. AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
• 이 콘텐츠는 뉴스보이의 AI 저널리즘 엔진으로 생성 되었으며, 중립성과 사실성을 준수합니다.
• AI가 작성한 초안을 바탕으로 뉴스보이 에디터들이 최종검수하였습니다. (오류신고 : support@curved-road.com)
