조너선 몽컨, AI 군집 공격 전력망 위험 경고

미국 전력망 운영사 PJM에서 시스템 회복력 담당 선임 디렉터를 지낸 조너선 몽컨 컨버지 스트래티지스 선임 파트너가 AI 에이전트 군집을 앞세운 사이버 공격이 전력망 위험을 끌어올렸다고 경고했다. 그는 10월 말 녹화돼 11월 2일 공개된 미국 에너지 업계 팟캐스트 대담에서 "위험은 매우 현실적이고 크게 높아졌다"고 밝혔다. 몽컨은 수백 곳의 전력·수도 사업자가 같은 취약점으로 한꺼번에 뚫리면 정부의 대응 능력을 넘어선다고 진단했다. 그는 이런 사태를 "대규모 이주 사건"이라고 불렀다.

경고가 나온 배경은 겹쳐 터진 소식들이다. 대담 진행자에 따르면 최근 한 달 사이 AI 에이전트 군집의 사이버 공격이 빠르게 늘면서 일부 보안 전문가들은 이 흐름을 「검은 10월」이라고 부르기 시작했다. 9월 말에는 미 국방부가 민간 전력망 정전 때 기지를 90일 동안 버티게 하는 포트리스(FORTRESS) 구상을 내놨고, 여러 나라 정부가 비슷한 시기에 시민들에게 최소 72시간의 기반 서비스 중단에 대비하라고 권고했다. 일리노이주 비상관리청장을 지낸 몽컨은 72시간이라는 기준이 정부가 대응 체계를 세울 시간을 벌기 위한 것이라고 설명했다.

몽컨이 꼽은 가장 큰 변화는 공격의 문턱이 낮아졌다는 점이다. 그는 예전에는 전력망 같은 핵심 기반시설을 노릴 규모와 인력을 갖춘 나라가 러시아, 이란, 중국 정도뿐이었다고 짚었다. 이어 "이제는 기성 AI 도구로 예전에 사이버 여단 하나가 통째로 있어야 했던 일을 해낼 수 있다"고 말했다. 보안 패치 주기도 문제다. 그는 사람이 취약점을 찾고 업체가 패치를 만들어 고객이 시험한 뒤 적용하기까지 보통 몇 주가 걸린다며, 검은 10월 사례 가운데 패치를 만들기도 전에 취약점이 드러나 4일 동안 문이 열려 있던 경우가 있었다고 밝혔다.

약한 고리는 큰 회사가 아니라 시스템의 가장자리에 있다. 몽컨에 따르면 미국의 전력 사업자는 3,000곳이 넘고 수도 사업자는 25만 곳이 넘는데, 상당수가 작은 규모라 같은 방어 도구를 쓰지 못한다. 그는 최근 드러난 PHP 취약점이 20년 동안 남아 있었다며, AI 군집은 이런 가장자리를 한꺼번에 훑을 수 있다고 설명했다. 3년쯤 전 탬파의 수도 시스템 해킹은 피해 범위가 좁아 수습할 수 있었지만, 공유된 취약점으로 수십에서 수백 곳의 사업자가 동시에 당하면 지역도 시설 종류도 가리지 않는 사태가 된다는 것이다.

대응 여력에 대한 그의 답은 단호했다. 24년 군 경력 가운데 8년을 주방위군 재난 대응 장교로, 마지막 13년을 사이버 작전 장교로 일한 몽컨은 "우리는 그 72시간 안에 지금 말하는 규모의 문제를 실제로 고칠 능력이 없다"고 말했다. 주방위군과 예비군, 정부 대응 인력을 다 합쳐도 무너진 기반시설을 임시로라도 대신할 자원이 부족하다는 것이 그의 진단이다. 대담에 함께한 캐럴라인 골린 NRG 최고성장·정책책임자는 이미 기후 재난에 대응할 초동 대응 인력도 충분하지 않다고 지적했다.

국방부의 포트리스 구상에 대해서도 몽컨은 회의적이었다. 그는 미국 본토의 주요 군 기지 약 500곳을 각각 독립적으로 돌아가는 섬으로 만드는 것이 구상의 취지라면서도 "실행은 솔직히 불가능하다"고 평가했다. 기지에 불을 켜도 주변 지역사회와 다른 기반시설, 탄약과 자재를 대는 방위산업 기반이 멈추면 기지는 임무를 수행할 수 없다는 이유다. 그는 군 기지의 전력 회복력이 지역 송전망 운영 기구의 송전 계획에도, 전력회사의 통합자원계획(IRP)에도 정식으로 들어가 있지 않다고 밝혔다.

AI 데이터센터는 이 위험 지도에 새로 올라온 칸이다. 몽컨은 미 국방부가 2차 세계대전 이후 70년 동안 미국과 세계에서 전기요금을 가장 많이 내는 단일 고객이었지만, 앞으로 12개월 안에 데이터센터 기업들의 전력 부하가 모든 군 기지를 합친 것보다 커지고 국방부는 상위 3위 안에도 들지 못할 것이라고 내다봤다. 그는 데이터센터가 시설 안의 IT 부하를 고객별로 나누지 않는 경우가 대부분이라 한 곳이 멈추면 그 연산에 기댄 여러 시스템이 동시에 흔들린다고 설명했다. 메탈은 오픈AI가 컴퓨트 캠퍼스의 전력 사용을 전력망 부하에 맞춰 줄이는 프로그램을 내놓은 소식을 보도한 바 있다.

메탈이 확인한 대담 전문에서 몽컨은 앞으로 닥칠 위험의 순서를 AI 사이버 공격, 데이터센터 부하, 기후 변화 순으로 꼽았다. 기후 위험은 계속 커지지만 시간표가 길어 사람들이 외면할 핑계를 찾게 된다는 것이 그의 설명이다. 업계가 이 위협을 진지하게 받아들이고 있느냐는 물음에 그는 진지하게 받아들이고 있지만 충분히 빨리 움직이지는 못한다고 답했다. 취약점을 찾는 속도가 패치를 만드는 속도를 앞서는 동안 방어하는 쪽이 불리할 수밖에 없다는 것이 몽컨의 결론이다.