사이버보안 최신 트렌드, 생성형 AI 챗GPT! 보안 실무 활용법

지난달에 열린 ‘SK Tech Summit 2023’에서 SK쉴더스 EQST Lab의 김세용 수석은

'챗GPT, 사이버보안 전문가를 대체할 것인가?’라는 주제로 발표를 진행했습니다.

생성형 AI를 사이버보안 실무에 활용하는 방안을 함께 알아볼까요?

‍

_{‘챗GPT, 사이버보안 전문가를 대체할 것인가?’라는 주제로 발표를 하고 있는 EQST Lab의 김세용 수석}

​

1/ 생성형 AI 챗GPT, 사이버보안 실무에 어떻게 활용할까?

‍

SK쉴더스 화이트해커그룹 EQST Lab의 연구 결과, 현재 사이버보안 실무에서의 생성형 AI 활용 수준은 초~중급 정도로 확인됩니다. 보다 실무를 보조하는 방식으로 적절한 활용이 필요한 시점인데요. 시큐어 코딩, 시나리오 모의해킹, 모바일 App 분석, 악성코드 분석에 활용할 수 있는 챗GPT, 사이버보안 영역에 대한 챗GPT의 활용도와 한계점에 대해 알아보겠습니다. ✍️

‍

​

① 시큐어 코딩 - 소스코드 내 취약점 탐색 및 시큐어 코드 작성

​

✅ 활용도

- 주요 프로그래밍 언어 6개 이상에 대한 코드를 분석할 수 있습니다.

- 주요 웹 취약점 10개 항목을 탐색하고 조치하는 데 활용할 수 있습니다.

- SQL Injection, XSS 등에 활용 가능합니다.

​

✅ 한계점

- 복잡한 로직 분석이 필요한 항목에 활용하기 어렵습니다.

- 취약한 조치 코드를 제공한 사례가 존재합니다.

​

✅ 활용 예시

‍

_{존재하는 취약점과 조치 방법 제공}

​

② 시나리오 모의해킹 - 단계별 필요 명령과 스크립트 작성을 통한 침투 테스트 수행

​

✅ 활용도

- 모의해킹 시나리오를 생성할 수 있습니다.

- 단계별로 사용하는 명령어와 스크립트를 안내받을 수 있습니다.

- 모의해킹 네트워크 구조의 다이어그램을 생성할 수 있습니다.

​

✅ 한계점

- 입력 길이 제한으로 인해, 이전 단계의 과정이 소실될 수 있습니다.

- 모의해킹 환경에 따른 트러블슈팅이 필요합니다.

​

✅ 활용 예시

_{존재하는 취약점과 조치 방법 제공}

​

​

③ 모바일 App 분석 - App 권한 확인, 단순 로직 우회 등 초기 분석에 활용

​

✅ 활용도

- 초기 분석을 하는 수준으로 활용할 수 있습니다.

- Android의 ‘Manifest’나 iOS의 ‘plist’ 파일 내 취약한 설정을 식별할 수 있습니다.

- 정적인 분석 작업에 유용합니다.

​

✅ 한계점

- 복잡한 코드 로직을 분석하는 데 한계가 존재합니다.

- 동적 분석에도 한계가 존재합니다.

​

✅ 활용 예시

_{무결성 체크 로직 분석 후 우회 방법 제공}

​

​

④ 악성코드 분석 - 악성코드 바이너리 특징 파악 및 어셈블리 분석 등 일부 작업 서포트

​

✅ 활용도

- 악성코드의 주요 기능을 분석하고, 악성코드의 유형을 파악할 수 있습니다.

- 분석에 필요한 tool과 명령어를 안내받을 수 있습니다.

​

✅ 한계점

- 악성코드 바이너리 동적 분석에 한계가 존재합니다.

- 정보가 없는 악성코드는 분석하기 어렵습니다.

​

✅ 활용 예시

_{전반적인 바이너리 구조 확인 및 분석에 필요한 tool 명령 제공}

_{명령 결과 분석을 통한 바이너리 기능 요약}

​

2/ 기업 내 생성형 AI, 구축 및 사용 방안은?

‍

기업에서 자체적으로 생성형 AI를 개발하여 활용한다면, 안정적인 구축 및 사용 방안을 숙지해야 합니다. SK쉴더스 EQST Lab는 다음과 같은 4가지 방안을 제시하고 있습니다.🙌

​

✅ 프라이빗 AI 구축

- 외부 자원을 사용하지 않는 기업 내부의 프라이빗 AI를 구축해야 합니다.

- 주기적인 보안 점검을 통해 취약점 점검하고 제거해야 합니다.

​

✅ 외부 자원 사용 시 주의

- Plug-in, Library 등 외부 자원 사용 시 신뢰 가능한 출처를 이용해야 합니다.

- AI 모델의 성능과 안정성을 확인해야 합니다.

​

✅ 안전한 학습 방법

- 위협에 대한 모델의 견고성을 보장할 수 있는 학습 방법을 적용해야 합니다.

- AI 학습 시 오동작 및 데이터 추출 방지에 대한 고려가 필요합니다.

​

✅ 학습 데이터 검증

- 학습 데이터에 대한 검증으로 데이터의 편향성을 확인하고 공정성을 확보해야 합니다.

- 민감 데이터 학습 시 가명/익명 처리 및 암호화 기법을 사용해야 합니다.

​