2026 Microsoft Digital Defense Report: AI 공격이 바꾼 것과 바꾸지 못한 것

2026 Microsoft Digital Defense Report의 공식 요약은 위협 행위자가 AI를 정찰(reconnaissance), 사회공학, malware·exploit 개발, 침해 후 활동에 넣고 있다고 설명한다.[1] 이 문장만 떼어 놓으면 AI가 처음부터 끝까지 공격을 자율 수행하는 시대가 이미 왔다고 읽기 쉽다. 그러나 같은 요약은 현재 관측의 상당 부분이 기존 공격 workflow의 특정 단계를 빠르게 하거나 규모를 키우는 사용이라고 범위를 좁힌다.[1]

핵심은 “AI 공격인가 아닌가”라는 이분법이 아니다. 어느 단계에서 AI가 사용됐고, 사람이 무엇을 결정했으며, 실제 시스템에서 어떤 효과가 확인됐는지를 분리하는 것이다. 그래야 AI가 만든 속도와 개인화의 변화를 놓치지 않으면서도, 공급자 관측을 완전 자율 공격의 증거로 과장하지 않을 수 있다.

보고서가 말한 네 단계부터 정확히 읽는다

Microsoft가 공식 요약에서 명시한 공격 단계는 네 가지다.[1]

이 표의 두 번째 열은 보고서의 단계 구분을 운영자가 조사 가능한 작업 단위로 풀어 쓴 해석이다. Microsoft는 AI가 더 큰 속도와 규모, 더 효율적인 맞춤화를 제공할 수 있다고 설명한다. 사회공학에서는 캠페인을 더 표적화하고, 기술 작업에서는 공격 과정 일부를 압축할 수 있다는 것이다.[1] 하지만 공식 요약은 네 단계별 성공률, 피해액, 인간 개입 비율을 제시하지 않는다. 따라서 “AI 사용이 관측됐다”와 “AI 때문에 공격이 성공했다”를 같은 사실로 기록해서는 안 된다.

Reconnaissance: 더 많이 찾는 것과 스스로 침투하는 것은 다르다

정찰은 자동화의 효과가 가장 자연스럽게 나타날 수 있는 단계다. 흩어진 공개 정보와 기술 단서를 모으고, 반복 조회를 수행하며, 후보를 정리하는 작업은 속도와 규모의 영향을 직접 받는다. Microsoft도 공격자가 AI를 정찰에 포함한다고 밝혔다.[1]

그러나 정찰 자동화는 침투 성공의 증거가 아니다. 시스템을 조회했다는 사실, 노출된 서비스를 분류했다는 사실, 실제 취약점을 확인했다는 사실, 그 취약점을 이용해 접근을 얻었다는 사실은 서로 다른 상태다. 조사 기록에서는 적어도 발견, 검증, 악용 시도, 초기 접근 성공을 나눠야 한다. AI가 많은 후보를 만들었다고 해서 모든 후보가 유효한 취약점인 것도 아니고, 다음 행동을 모델이 독립적으로 결정했다는 뜻도 아니다.

따라서 “AI 기반 정찰”이라는 라벨보다 중요한 것은 행위의 연결이다. 어떤 데이터가 입력됐고, 어떤 도구가 호출됐으며, 결과를 누가 선별했고, 후속 접근에 어떤 identity가 사용됐는지를 보아야 한다. 이 연결이 없으면 빠른 정보 수집을 자율 침투로 잘못 부를 수 있다.

Social engineering: 생성량보다 대상 선택과 전달 경로를 본다

공식 요약은 AI가 사회공학 캠페인을 더 표적화할 수 있다고 설명한다.[1] 다만 자연스러운 문장을 빠르게 만들고 대상별 맥락을 반영해 메시지 변형 비용을 낮출 수 있다는 설명은 공식 요약의 직접 진술이 아니라, 이 글의 운영적 해석이다. 실제 비용 변화는 공격자가 쓰는 모델과 데이터, 검토 절차, 전달 인프라에 따라 달라진다.

여기서도 생성과 공격 실행을 분리해야 한다. 문구를 만든 모델, 수신자 목록을 고른 사람이나 시스템, 메시지를 보낸 계정, 링크·첨부 파일을 호스팅한 인프라, 실제로 자격 증명을 입력하거나 파일을 실행한 결과는 각각 별도 증거다. AI가 설득력 있는 초안을 만들었다는 사실만으로 계정 탈취가 성공했다고 쓸 수 없다.

방어팀은 “AI가 쓴 것처럼 보이는 문장”을 판별하는 데만 의존해서는 안 된다. 보고서가 강조하듯 사람, identity, 노출된 시스템, 신뢰된 접근은 계속 주요 요소다.[1] 발신 identity의 이상, 평소와 다른 인증 흐름, 새로운 전달 인프라, 메시지 이후의 비정상 세션처럼 기존 보안 신호를 함께 연결하는 편이 더 직접적인 조사 경로다.

Malware·exploit 개발: 코드 생성과 작동하는 exploit 사이의 간격

Microsoft는 malware와 exploit 개발도 AI가 들어가는 단계로 명시한다. 동시에 AI를 활용한 코드 분석이 방어자에게는 취약점을 더 일찍 찾을 기회를, 공격자에게는 취약점 발견과 exploit 개발을 위한 더 강한 도구를 줄 수 있다고 설명한다.[1]

그렇다고 모델이 출력한 코드 조각을 곧바로 새 exploit로 집계해서는 안 된다. 코드가 컴파일되는지, 목표 버전에 맞는지, 방어 장치를 통과하는지, 실제 취약 상태에서 의도한 효과를 냈는지에 따라 증거 수준이 달라진다. 조사자는 모델 출력이 기존 기법의 단순 재서술인지, 사람이 제공한 exploit chain의 일부를 보완한 것인지, 실험 환경에서 재현 가능한 별도 기술적 기여인지도 구분해야 한다.

Post-compromise: AI보다 먼저 최초 접근과 권한을 확인한다

침해 후 활동이라는 표현에는 중요한 전제가 있다. 공격자가 이미 어떤 형태로든 접근을 확보했다는 뜻이다. AI가 이후 탐색이나 작업을 가속했더라도, 최초 접근이 피싱, 노출 시스템, 탈취된 identity, 신뢰 관계 악용 중 무엇이었는지는 별도로 밝혀야 한다. Microsoft 역시 AI 활용이 늘어도 사람, identity, 노출된 시스템, trusted access가 관측된 위협 활동에서 계속 두드러진다고 말한다.[1]

사고 보고서에서 “AI가 내부망을 공격했다”라고 한 줄로 줄이면 이 전제가 사라진다. 더 나은 기록은 최초 접근 시점과 주체, 이후 사용된 계정과 권한, AI가 관여한 작업, 사람이 승인하거나 수정한 지점, 실제로 바뀐 외부 상태를 시간순으로 분리한다. AI는 분석이나 명령 제안에만 쓰였을 수도 있고, 도구를 직접 호출했을 수도 있다. 두 경우의 통제 실패와 책임 경계는 같지 않다.

이 구분은 탐지에도 영향을 준다. AI 여부를 먼저 판정하려 하기보다 유효한 identity가 평소와 다른 자원에 접근했는지, 짧은 시간에 여러 시스템을 가로질렀는지, 기존 신뢰 경로가 예상 밖의 작업에 쓰였는지를 확인해야 한다. 보고서가 여러 환경의 신호를 함께 볼 때 개별 신호만으로는 드러나지 않는 패턴을 찾을 수 있다고 강조하는 이유도 여기에 있다.[1]

‘자율 해킹’이라고 부르기 전에 다섯 가지를 묻는다

AI가 attack chain에 들어갔다는 사실과 end-to-end 자율 공격이 입증됐다는 주장은 다르다. 최소한 다음 질문에 답하지 못한다면 “자율 해킹”은 관측 결과보다 강한 표현이다.

1. 공격 목표와 대상은 누가 정했는가?
2. 정찰에서 최초 접근, 침해 후 행동까지 같은 시스템이 이어서 결정했는가?
3. 사람은 중간 결과를 선택·수정·승인하거나 실패를 복구했는가?
4. AI 출력은 제안에 머물렀는가, 실제 도구 호출과 상태 변경으로 이어졌는가?
5. 성공 판단은 모델의 보고인가, 대상 시스템의 로그와 read-back으로 확인됐는가?

공식 요약은 위협 행위자가 AI를 기존 workflow의 특정 부분에 넣는 현재 관측과, 더 발전된 활용이 계속 개발되는 추세를 함께 말한다.[1] 여기에는 “인간이 완전히 제거된 공격의 비율”이 없다. 따라서 보도나 내부 보고에서 자율성 수준을 따로 측정하지 않은 채 모든 AI 보조 공격을 autonomous hacking으로 합치면, 보고서가 둔 범위를 넘어선다.

공급자 telemetry가 보여 주는 것과 보이지 않는 것

이 보고서는 Microsoft의 보안·위협 인텔리전스 팀이 관측한 환경을 종합한 공급자 보고서다.[1] 넓은 제품과 서비스에서 여러 신호를 연결할 수 있다는 점은 가치가 있다. 반면 그 관측은 Microsoft가 볼 수 있는 고객, 제품, 조사, 파트너십의 범위와 탐지 방식에 영향을 받는다.

따라서 이 자료를 인터넷 전체 공격의 무작위 표본처럼 취급해서는 안 된다. 공식 요약만으로 전체 공격 중 AI 사용 비율, 특정 모델의 악용률, AI가 없었을 때와 비교한 성공률, 피해액 증가분을 계산할 수 없다. 탐지된 활동은 탐지되지 않은 활동을 대표하지 않을 수 있고, 한 공급자가 연결할 수 없는 다른 서비스의 신호는 빠질 수 있다. 반대로 Microsoft가 여러 신호를 결합해 볼 수 있기 때문에 단일 조직보다 더 잘 드러나는 패턴도 있을 수 있다.

이 한계는 보고서를 무시하라는 뜻이 아니다. 올바른 사용법은 방향성 관측과 모집단 통계를 구분하는 것이다. AI가 네 공격 단계에 들어가고 있고 속도·규모·맞춤화에 영향을 준다는 것은 Microsoft의 관측이다.[1] 그 영향의 보편적 크기와 성공률은 이 공식 요약만으로 확정할 수 없다.

방어 관점의 새 inventory는 모델이 아니라 연결면이다

Microsoft는 agent를 독립된 모델이 아니라 데이터, 애플리케이션, API, 도구와 연결된 시스템으로 보라고 제안한다. 보안은 모델 자체뿐 아니라 접근 가능한 데이터와 도구, 사용되는 identity와 permission, 주변 인프라와 서비스에 달려 있다.[1] 보고서가 다루는 질문도 agent identity, 적절한 접근, agent 간 인증, 행위 귀속, 접근 철회로 이어진다.[1]

이 글에서 그 구현법을 다시 설계할 필요는 없다. 다만 위협 관측을 방어 inventory로 바꿀 때는 모델 이름만 적어서는 부족하다는 결론은 분명하다. 어느 agent가 어떤 identity로 실행되고, 어떤 데이터와 도구에 닿으며, 권한을 누가 부여·철회하고, 결과를 어느 주체에 귀속할 수 있는지까지 보여야 한다. Prompt injection, memory, model·data, agent behavior, 주변 소프트웨어와 서비스의 무결성도 같은 시스템 경계 안에서 보아야 한다.[1]

이 방어 맥락에서 읽어야 할 문장도 있다. Microsoft는 올해 보고서의 red teaming 논의를 소개하면서 알려진 정보의 연결과 정립된 기법의 실행은 점점 자동화할 수 있지만, 문서화되지 않은 공격 경로를 찾거나 무관해 보이는 약점을 결합하는 일에는 경험 있는 운영자가 가까이 관여하는 것이 계속 도움이 된다고 썼다.[1] 이 대목의 주어와 맥락은 방어 활동과 red teaming이지, 관측된 위협 행위자의 역량이 아니다. 따라서 이를 공격자가 미지의 경로를 찾아냈거나 숙련 운영자를 투입했다는 증거로 사용해서는 안 된다.

결론: 새 위협의 이름보다 증거의 해상도를 높인다

2026 Microsoft Digital Defense Report의 공식 요약이 보여 주는 변화는 구체적이다. 위협 행위자는 AI를 정찰, 사회공학, malware·exploit 개발, 침해 후 활동에 사용하고 있으며, AI는 기존 작업의 속도와 규모, 맞춤화 능력을 높일 수 있다.[1] 동시에 기본 공격 기반은 낯설지 않다. 사람, identity, 노출된 시스템, trusted access는 계속 중요하다.[1]

그러므로 현실적인 결론은 “AI가 모든 공격을 자율화했다”도, “기존 공격과 아무 차이가 없다”도 아니다. 현재의 공식 관측은 주로 기존 attack chain의 일부 단계가 더 빠르고 넓고 세밀해지는 변화를 가리킨다. 방어자는 단계별 증거와 identity·도구·외부 효과를 연결해 그 변화를 측정해야 한다. 그리고 공급자 telemetry의 범위를 넘는 성공률이나 자율성 비율을 만들어 내지 않아야 한다. 과장 없는 보고가 위험을 축소하는 것이 아니라, 실제로 통제해야 할 연결면을 더 정확히 드러낸다.

Sources

[1] https://www.microsoft.com/en-us/security/blog/2026/10/01/insights-from-the-2026-microsoft-digital-defense-report/ — Insights from the 2026 Microsoft Digital Defense Report