소프트웨어(SW)의 소스코드가 없어도 인공지능(AI)으로 보안 취약점을 찾아내고 공격 가능성까지 검증한다. 웹사이트에서는 이용자의 마우스 이동과 클릭 패턴을 분석해 자동화된 공격을 식별한다.
스틸리언이 AI 기반 취약점 분석 솔루션 '에일리언레이'와 웹 보안 솔루션 '웹수트'를 통해 구현하는 보안 기술이다. 공격자 관점의 해킹 전문성과 AI 분석 기술을 결합해 취약점 탐지부터 실제 공격 차단까지 대응 범위를 넓혔다.
AI가 취약점 탐색과 공격 실행을 자동화하면서 기존 보안체계에도 변화가 요구된다. 공격 속도가 빨라지는 만큼 방어자도 취약점을 신속하게 식별하고 악용 가능성을 검증하는 역량이 중요해지고 있다.
스틸리언은 AI를 활용해 취약점 탐색과 공격 가능성 검증에 필요한 시간을 단축했다. AI가 취약점 후보를 탐색하고 실제 공격 가능성을 검증하는 과정을 지원해 보안 담당자가 주요 위험에 집중하도록 한다.
에일리언레이는 소스코드 없이 실행 파일만으로 보안 취약점을 분석하는 블랙박스 방식의 AI 솔루션이다. 윈도·리눅스 프로그램과 안드로이드·iOS 앱 등을 대상으로 보안 위험을 점검한다.
외부에서 도입한 업무용 프로그램이나 보안 솔루션의 소스코드 없이도 취약점을 확인할 수 있다. 프로그램 업데이트 전후 변경사항을 비교해 새로 발생한 보안 위험도 점검한다.
자체 AI 엔진 '디퓨토' 등으로 취약점과 공격 경로를 탐색하고, 화이트해커의 검증을 거쳐 실제 위험 요소를 선별한다. SW 구성요소 목록(SBOM)과 알려진 취약점(CVE)을 대조하는 공급망 점검도 지원한다.
에일리언레이는 실제 진단에서 기술적 성과도 입증했다. 상용 보안 프로그램 7종에서 AI가 탐지한 공격 경로 70건 중 61건(87%)을 격리된 환경에서 재현했다. 상용 제품 파일 19개 분석에서는 소요 시간을 4.8시간에서 56분으로 약 80% 단축했다.
에일리언레이는 KB국민은행과 삼성전자, 국세청 등에 공급됐다. 금융·공공·기업에서 외부 SW 도입 전 안전성 검증과 보안 패치 확인, 정기 취약점 점검 등에 활용된다.
스틸리언은 기업이 인지하지 못한 외부 노출 웹 자산을 탐색하고 취약점을 분석하는 '에일리언레이 웹'도 개발 중이다. 연내 일부 고객사를 대상으로 베타 서비스를 시작할 계획이다.
웹 서비스에서는 또 다른 위협에 대응한다. 공격자가 AI 에이전트로 웹사이트의 응용프로그램인터페이스(API) 구조를 탐색하거나 자동화 프로그램을 이용해 탈취한 계정정보를 입력하면 정상 이용자의 접근과 구분하기 어렵다.
스틸리언은 웹수트에 AI 기반 사용자 행동분석 기술을 적용해 대응한다. 웹수트는 AI 에이전트를 활용한 공격과 웹·API 보안 위협에 대응하는 솔루션이다. AI로 마우스 이동 등 사용자 행동을 분석해 비정상적인 접근을 식별한다.
의심스러운 요청에는 작업증명(PoW) 기술을 적용해 공격자의 시간과 자원 소모를 늘린다. 탈취한 계정정보를 반복 대입하는 '크리덴셜 스터핑' 공격과 API 정찰, 브라우저 자동화 공격에도 대응한다.
별도 보안 장비를 구축하지 않고 기존 서버에 라이브러리를 적용하는 방식으로 도입할 수 있다. API 경로 난수화와 요청·응답 암호화 등 다양한 보호 기술도 결합했다.
스틸리언은 국제 사이버훈련에서도 AI 방어 기술을 검증했다. 지난 9월 열린 국제 사이버훈련 'APEX 2026'에서 핵심 기술 개발에 참여한 AI 방어팀이 23개국 참가팀 가운데 종합 1위를 기록했다.
박찬암 스틸리언 대표는 “AI를 활용한 공격이 고도화되는 만큼 방어 체계에도 AI 기술을 적극 활용해야 한다”며 “공격자 관점의 보안 전문성과 AI 연구 역량을 바탕으로 실제 사이버 위협에 선제적으로 대응할 수 있도록 기술 경쟁력을 강화하겠다”고 말했다.
조벼리 기자 starry@etnews.com
