2026년 9월 말, 나온 지 두 달 된 인공지능(AI) 하나가 한국 금융의 문을 두드렸다. 중국어 기반 AI 자율 침투 테스트 플랫폼 ‘아르텍스(ARTEX)’다. 공격자는 인터넷·모바일뱅킹 같은 핵심 시스템 대신 대출모집인 조회, 직원용 업무지원 시스템 같은 주변 시스템을 노렸고, 일주일 사이 신한·KB국민·하나·BNK부산은행과 저축은행·캐피털사까지 금융회사 일곱 곳이 뚫렸다. 신한은행 한 곳에서만 고객 2만5000여 명의 정보가 빠져나갔다.
인터넷과 함께 시작된 보안은 지난 30년간 한국의 가장 핫한 주제 중 하나였다. 우리는 보안에 필요하다는 정부의 말에 주민등록번호까지 모든 것을 정부의 처분에 맡겼다. 돌아보면 보안을 위해 보안에 가장 취약한 무기를 맡긴 꼴이 됐다.
중국의 듣보잡 AI 하나에 철옹성같이 탄탄해 보이던 하나은행, KB국민은행, 신한은행 등이 대문, 그들의 말을 빌리면 ‘쪽문’을 열어 주었다. 아마 모든 금융회사가 현재 비슷한 처지에 놓여 있을 것이라고 생각한다.
사실 그간 우리 보안은 정부나 국정원, 인터넷진흥원(KISA), 금융보안원 등이 내세우는 ‘보안’과는 달리 ‘보안에 취약한’ 정책의 토대를 차곡차곡 쌓아 왔다. 오직 그들만이 알지 못했을 뿐이다. 벌거숭이 임금님의 귀는 당나귀였다는 말이다.('규제의 호소화' 참조)
지금 상황이 새삼스럽지 않다는 것은 안다. 반복되는 일의 하나라고 생각할 수도 있을 것이다. 그러나 당국이 해커들에게 안방을 내어 준 금융회사들에게 목소리를 높이지 않는 것을 보면서 기시감을 느낀다. 우리들의 기억 속에서 2025년을 소환할 수 있다. 지난해 9월 롯데카드와 KT 해킹 사태 뒤 이재명 대통령은 “보안 없이는 디지털 전환도, 인공지능(AI) 강국도 사상누각”이라고 했다.
놀라운 것은 국회에서 더 이상 쿠팡 청문회를 하지 않는다는 사실이다. 그사이 과기정통위가 아니라 주미대사관의 국정감사에서 설왕설래되는 이슈로 변했다. 국민들 누구도 쿠팡에 맡긴 내 정보가 어디 있는지는 신경 쓰지 않았다. 쿠팡이 그 시점에서 양치기 소년의 ‘늑대’였을 뿐이다.
SK텔레콤의 유심칩 정보유출이나 KT 기지국 해킹, 롯데카드, 티빙 등 일련의 개인정보 유출 사건은 더이상 기억에서 소환되지 않는다. 옛말에 ‘은혜는 물에 새긴다’고 했으니 내가 그 사건으로 은혜를 입은 사람인가라는 생각마저 든다. 한국인터넷진흥원(KISA) 정보보호 및 개인정보보호 인증(ISMS-P)에 가까이 간 적조차 없는 사람이지만 화들짝 놀라기는 여느 사람과 같다.
한국은 AI 3대 강국을 국가 정책 목표로 삼았다.
소버린 AI를 내세워 애국심에 호소하면서 야심 차게 독자 파운데이션 모델(LLM, 독파모)을 시작했다. 국민성장펀드에서 업스테이지에 5600억 원을 투자하고, LG나 SK텔레콤마저 사회적 비용으로 자신들의 특별한 희생(?)을 보상받고 말겠다는 결심으로 참여했다. 독파모의 성공은 국가의 일이지 자신들의 일은 아닌 것이다.
독파모는 2026년 승부를 결판내는 대신 주최 측의 적극적인 양해하에 프런티어 AI로 변신했다. 이제 그들은 기약 없는 승부의 여정을 이어 갈 것이다. 그 길은 이번 정부 임기가 끝나는 2030년 6월 이후까지 연해 있을 것이고, 우리는 그 중간 어디선가 그들을 놓치게 될 것이다.
2026년 4월 7일 우리는 진실과 마주했다.
어쩌면 우리에게 더 이상 가져갈 정보가 없을지도 모른다. 정부와 보안 당국자들은 다른 모든 나라가 미토스(Mythos Preview) 앞에서는 평등해졌다는 안도감이 들지도 모른다. 핑곗거리가 생겼다고 몰래 웃을지도 모른다.
한국 AI 3대 강국의 꿈은 해커들의 놀이터에서 이대로 사라졌는가.
