무슨 일이 있었나
2023년 한 해 동안 미국 연방수사국(FBI)이 공식 귀속한 중국 연계 사이버 침투 사건은 직전 5년 평균보다 40% 이상 증가했다. 공격 대상은 반도체 설계도나 AI 훈련 데이터에 국한되지 않는다. 항만 물류 소프트웨어, 금융결제 인프라, 농업 공급망 관리 시스템까지 뻗어 있다. 미중 AI 경쟁이 '기술 개발'이라는 단일 경주에서 '공급망 전체의 지배'라는 복합 전쟁으로 전환되고 있다는 신호다.
실제로 무슨 의미인가
사이버 공격과 무역·경제 패권이 어떻게 연결되는지를 먼저 이해할 필요가 있다. '사이버 첩보(cyber espionage)'란 디지털 방법으로 타국의 기밀 정보, 지적재산, 운영 데이터를 탈취하는 행위다. 국가가 배후에 있을 경우 이는 전통적 무역 장벽이나 관세와는 전혀 다른 방식으로 경쟁 우위를 빼앗아 간다. 연구개발에 수십억 달러를 투자하지 않고도 그 결과물을 손에 넣을 수 있다.
AI 경쟁에서 이것이 더 중요해진 이유가 있다. AI 모델의 성능은 세 가지 자원에 달려 있다. 알고리즘 설계, 컴퓨팅 하드웨어, 그리고 훈련 데이터다. 미국은 2022년 10월 반도체 수출통제, 2023년 10월 추가 제한 조치를 통해 엔비디아 A100·H100 등 고성능 GPU의 대중 수출을 막았다. 하드웨어 봉쇄가 작동하자, 나머지 두 자원인 알고리즘과 데이터를 확보하려는 우회 압력이 사이버 경로로 집중되고 있다는 것이 분석가들의 공통된 관찰이다.
더 주목할 것은 공격 대상의 변화다. 기술 기업만이 아니라 항만·물류·에너지 인프라를 겨냥하는 것은 단순 기술 탈취를 넘어선다. 분쟁이 실제로 발생했을 때 상대의 공급망을 마비시키거나, 평시에도 협상 레버리지로 활용할 수 있는 잠재적 취약점을 사전에 심어 두는 전략이다. 이를 '사전 배치(pre-positioning)'라고 부른다.
어떻게 작동하는가
구체적인 작동 방식을 시간 순서로 살펴보면 다음과 같다. 먼저 공격자는 타깃 기업의 협력업체, 즉 보안이 상대적으로 취약한 중소 부품사나 물류 파트너를 먼저 침투한다. 이른바 '공급망 공격(supply chain attack)'이다. In May 2023, CISA confirmed that the China-linked group 'Volt Typhoon' had been lurking in US critical infrastructure for years.
다음 단계는 정보 수집이다. 설계 도면, 공정 매뉴얼, 고객 데이터, 네트워크 구조도가 조용히 복사된다. 기업은 수개월, 때로는 수년이 지나야 침투 사실을 인지한다. 미국 국가방첩안보센터(NCSC) 추산에 따르면, 미국이 지식재산 도용으로 연간 입는 경제적 손실은 2천억 달러에서 6천억 달러 사이다. GDP 대비로는 약 1~2.5%에 해당하는 규모다.
역사적 비교 사례가 있다. 1950년대 소련은 로젠버그 부부 등을 통해 미국의 핵폭탄 설계도를 입수했다. 당시 소련의 첫 핵실험(1949년)은 미국 독자 개발 시점보다 최소 2~3년 앞당겨진 것으로 역사가들은 평가한다. 오늘의 AI 기술 탈취는 규모와 속도 면에서 그 시대와 비교할 수 없을 만큼 광범위하다. 다만 구조는 같다. 개발 비용을 치르지 않고 결과를 거두는 것이다.
대부분이 오해하는 것
많은 사람들이 사이버 공격을 '기술 문제'로만 인식한다. 방화벽을 높이고 암호를 복잡하게 만들면 해결된다는 시각이다. 그러나 현재의 미중 사이버 긴장은 본질적으로 무역 문제다. 미국이 반도체 수출을 통제하고, 중국이 사이버 경로로 우회하고, 미국이 다시 동맹국에 대중 기술 수출 규제 동참을 요청하는 이 연쇄는 고전적인 무역 마찰의 디지털 버전이다. 통상 협상 테이블에서 해결되지 않는 분쟁이 네트워크 패킷의 형태로 이어지고 있을 뿐이다. 기업 보안팀이 아니라 무역 정책 입안자들이 1차 대응 주체여야 하는 이유가 여기에 있다.
독자가 기억해야 할 한 문장
미국의 대중 반도체 수출 통제 범위가 넓어질수록, 그에 비례해 사이버 침투의 표적이 기술 기업에서 물류·금융 인프라로 확산되는 패턴이 강해진다면, 그것은 기술 냉전이 공급망 전쟁으로 전환되고 있다는 신호로 읽어야 한다.
참고자료
CISA — Volt Typhoon 공식 사이버 보안 권고문 (2024)