‘사이버 검증 프로그램(CVP)’ 참여… 오토패스워드 인증 취약점·고객 서비스 취약점 점검에 AI 활용
듀얼오스(DualAuth, 대표 우종현)가 앤트로픽(Anthropic)의 ‘사이버 검증 프로그램(Cyber Verification Program, CVP)’ 참여 기업으로 합류했다고 15일 밝혔다. 앤트로픽의 최상위 모델 ‘클로드 미토스(Claude Mythos)’ 등 고성능 AI가 취약점 발견과 공격 경로 분석에 활용되는 환경에서, 같은 수준의 AI로 인증 제품과 고객 서비스를 먼저 점검하겠다는 취지다.
앤트로픽의 CVP는 별도의 자격 검증을 통과한 보안 기업과 전문가에게 일반 사용자에게는 제한되는 고급 사이버 보안 AI 기능에 대한 접근권을 부여하는 프로그램이다. 참여 기업은 악성코드 분석, 취약점 탐지, 공격 경로 검증 등 고난도 보안 연구에 앤트로픽의 최신 AI 모델을 활용할 수 있다.
듀얼오스는 CVP 합류로 확보한 보안 특화 AI 접근권을 자사 패스워드리스 인증 제품군 ‘오토패스워드(AutoPassword)’의 인증 취약점 점검과 고객사 서비스 취약점 점검에 활용할 계획이다. 인증 프로토콜과 구현 코드의 결함을 사전에 찾아내고, 실제 서비스 환경에서 공격자 관점의 공격 경로를 검증해 제품과 고객 서비스의 보안 수준을 높인다는 방침이다.
듀얼오스가 개발한 오토패스워드는 상호인증의 뛰어난 보안성과 자동 패스워드의 편리성을 인정받아 국제표준화 기구인 ITU-T에서 국제표준 X.1280(패스워드리스 상호인증)으로 제정한 기술이다. 사용자가 비밀번호를 입력하는 대신 서비스가 매번 새로운 자동 패스워드를 사용자에게 제시하고 사용자는 이를 자신의 스마트폰에서 검증·승인하기 때문에, 패스워드를 입력하거나 기억할 부담이 없고 인증에 대한 책임이 사용자에서 온라인 시스템으로 옮겨가는 방식이다. 무엇보다 사용자가 기억하거나 입력하는 고정 비밀번호가 없어 피싱 사이트에 자격증명을 넘겨줄 여지가 없고, 유출된 비밀번호 목록을 대입하는 크리덴셜 스터핑(Credential Stuffing)과 무차별 대입(Brute Force) 공격이 성립하지 않는 구조다.
실제로 최근 AI를 활용한 대규모 자격증명 공격이 국내 은행들을 잇달아 겨냥한 가운데, 오토패스워드를 적용한 한 은행에서는 해당 공격으로 인한 피해가 발생하지 않아 AI 기반 공격 환경에서도 방어력을 입증했다.
우종현 듀얼오스 대표는 “미토스급 AI가 공격자의 손에도 들어가는 시대에는 계정과 인증을 지키는 것이 사이버 보안의 출발점이 된다”며 “CVP를 통해 확보한 보안 특화 AI로 오토패스워드 인증 취약점과 고객 서비스를 먼저 점검해 검증 주기를 단축하고 점검 깊이를 높이겠다”고 말했다.