지난달에 열린 ‘SK Tech Summit 2023’에서 SK쉴더스 EQST Lab의 김세용 수석은

'챗GPT, 사이버보안 전문가를 대체할 것인가?’라는 주제로 발표를 진행했습니다.

생성형 AI를 사이버보안 실무에 활용하는 방안을 함께 알아볼까요?

‍

_{‘챗GPT, 사이버보안 전문가를 대체할 것인가?’라는 주제로 발표를 하고 있는 EQST Lab의 김세용 수석}

​

1/ 생성형 AI 챗GPT, 사이버보안 실무에 어떻게 활용할까?

‍

SK쉴더스 화이트해커그룹 EQST Lab의 연구 결과, 현재 사이버보안 실무에서의 생성형 AI 활용 수준은 초~중급 정도로 확인됩니다. 보다 실무를 보조하는 방식으로 적절한 활용이 필요한 시점인데요. 시큐어 코딩, 시나리오 모의해킹, 모바일 App 분석, 악성코드 분석에 활용할 수 있는 챗GPT, 사이버보안 영역에 대한 챗GPT의 활용도와 한계점에 대해 알아보겠습니다. ✍️

‍

​

① 시큐어 코딩 - 소스코드 내 취약점 탐색 및 시큐어 코드 작성

​

✅ 활용도

- 주요 프로그래밍 언어 6개 이상에 대한 코드를 분석할 수 있습니다.

- 주요 웹 취약점 10개 항목을 탐색하고 조치하는 데 활용할 수 있습니다.

- SQL Injection, XSS 등에 활용 가능합니다.

​

✅ 한계점

- 복잡한 로직 분석이 필요한 항목에 활용하기 어렵습니다.

- 취약한 조치 코드를 제공한 사례가 존재합니다.

​

✅ 활용 예시

‍

_{존재하는 취약점과 조치 방법 제공}

​

② 시나리오 모의해킹 - 단계별 필요 명령과 스크립트 작성을 통한 침투 테스트 수행

​

✅ 활용도

- 모의해킹 시나리오를 생성할 수 있습니다.

- 단계별로 사용하는 명령어와 스크립트를 안내받을 수 있습니다.

- 모의해킹 네트워크 구조의 다이어그램을 생성할 수 있습니다.

​

✅ 한계점

- 입력 길이 제한으로 인해, 이전 단계의 과정이 소실될 수 있습니다.

- 모의해킹 환경에 따른 트러블슈팅이 필요합니다.

​

✅ 활용 예시

_{존재하는 취약점과 조치 방법 제공}

​

​

③ 모바일 App 분석 - App 권한 확인, 단순 로직 우회 등 초기 분석에 활용

​

✅ 활용도

- 초기 분석을 하는 수준으로 활용할 수 있습니다.

- Android의 ‘Manifest’나 iOS의 ‘plist’ 파일 내 취약한 설정을 식별할 수 있습니다.

- 정적인 분석 작업에 유용합니다.

​

✅ 한계점

- 복잡한 코드 로직을 분석하는 데 한계가 존재합니다.

- 동적 분석에도 한계가 존재합니다.

​

✅ 활용 예시

_{무결성 체크 로직 분석 후 우회 방법 제공}

​

​

④ 악성코드 분석 - 악성코드 바이너리 특징 파악 및 어셈블리 분석 등 일부 작업 서포트

​

✅ 활용도

- 악성코드의 주요 기능을 분석하고, 악성코드의 유형을 파악할 수 있습니다.

- 분석에 필요한 tool과 명령어를 안내받을 수 있습니다.

​

✅ 한계점

- 악성코드 바이너리 동적 분석에 한계가 존재합니다.

- 정보가 없는 악성코드는 분석하기 어렵습니다.

​

✅ 활용 예시

_{전반적인 바이너리 구조 확인 및 분석에 필요한 tool 명령 제공}

_{명령 결과 분석을 통한 바이너리 기능 요약}

​

2/ 기업 내 생성형 AI, 구축 및 사용 방안은?

‍

기업에서 자체적으로 생성형 AI를 개발하여 활용한다면, 안정적인 구축 및 사용 방안을 숙지해야 합니다. SK쉴더스 EQST Lab는 다음과 같은 4가지 방안을 제시하고 있습니다.🙌

​

✅ 프라이빗 AI 구축

- 외부 자원을 사용하지 않는 기업 내부의 프라이빗 AI를 구축해야 합니다.

- 주기적인 보안 점검을 통해 취약점 점검하고 제거해야 합니다.

​

✅ 외부 자원 사용 시 주의

- Plug-in, Library 등 외부 자원 사용 시 신뢰 가능한 출처를 이용해야 합니다.

- AI 모델의 성능과 안정성을 확인해야 합니다.

​

✅ 안전한 학습 방법

- 위협에 대한 모델의 견고성을 보장할 수 있는 학습 방법을 적용해야 합니다.

- AI 학습 시 오동작 및 데이터 추출 방지에 대한 고려가 필요합니다.

​

✅ 학습 데이터 검증

- 학습 데이터에 대한 검증으로 데이터의 편향성을 확인하고 공정성을 확보해야 합니다.

- 민감 데이터 학습 시 가명/익명 처리 및 암호화 기법을 사용해야 합니다.

​

​

‍

‍