탈레스가 ‘2026 악성 봇 보고서: 에이전틱 시대의 악성 봇’을 발표했다. 이 보고서는 AI로 가속화된 자동화가 현대 디지털 인프라의 핵심 요소로 자리 잡음에 따라 인터넷 작동 방식에 근본적 전환이 일어나고 있음을 밝혔다.

이번 보고서는 사이버 생태계의 세 가지 주요 구조적 변화에 주목한다. 새로운 인터넷 트래픽 범주로서 ‘AI 에이전트’의 부상, 인간의 상호작용을 압도하는 자동화 활동의 급증, 디지털 비즈니스의 핵심 인프라인 API 및 신원 관리 시스템을 표적으로 한 공격의 급격한 확대다.

인터넷 트래픽 및 보안 패러다임을 재정의하는 AI

보고서에 따르면 AI는 단순히 봇 활동의 양을 늘리는 것에 그치지 않고 그 본질을 근본적으로 변화시키고 있다. 2025년 AI 기반 봇 공격은 전년 대비 12.5배 급증했다.

더욱 주목할 점은 AI 에이전트가 기존의 ‘악성(Bad)’ 및 ‘정상(Good)’ 봇과 함께 제3의 트래픽 카테고리로 부상해, 데이터를 수집하고 특정 작업을 수행하기 위해 애플리케이션 및 API와 직접 상호작용하고 있다는 점이다. 이러한 변화는 정상적인 자동화와 악의적인 자동화 사이의 경계를 모호하게 만들어, 기업이 그 의도를 파악하는 것을 점점 더 어렵게 만들고 있다.

팀 창(Tim Chang) 탈레스 애플리케이션 보안 부문 글로벌 부사장 겸 총괄은 “AI는 기업이 차단하려는 대상이었던 자동화를 이제 직접 관리하고 통제해야 하는 대상으로 바꾸어 놓았다. 더 이상 봇을 식별하는 것만이 과제가 아니다. 봇, 에이전트, 자동화가 무엇을 하고 있는지, 그것이 비즈니스 의도에 부합하는지, 핵심 시스템과 어떻게 상호작용하는지를 이해하는 것이 새로운 보안의 핵심”이라고 말했다.

이러한 진화는 보안 가시성의 사각지대를 점차 확대하고 있다. 오늘날 AI 기반 활동의 대부분은 검증되지 않았거나 정상적인 트래픽과 구별되지 않은 채로 남아 있으며, 이는 조직이 직면한 리스크를 완전히 파악하지 못한 상태에서 운영되고 있음을 의미한다.

인간의 온라인 활동을 압도하는 봇 트래픽의 급증

보고서에 따르면 자동화가 인터넷에 대한 장악력을 더욱 강화하고 있으며, 봇이 계속해서 인간 활동을 앞지르고 있다. 2025년 봇은 전체 웹 트래픽의 53% 이상을 차지해 전년의 51%에서 상승했으며, 인간 활동은 47%로 하락했다. 이는 일시적 추세가 아닌 구조적 전환을 반영하며, 봇은 더 이상 스크래핑이나 크리덴셜 스터핑 캠페인과 같은 특정 이벤트에 묶여 있지 않고, 디지털 환경 전반에서 지속적이고 예상 가능한 존재로 자리 잡았다.

주요 공격 표면으로 부상한 API 및 신원 관리 시스템

디지털 서비스가 핵심 기능을 구동하기 위해 API에 점점 더 의존함에 따라 공격자들 또한 이를 노리고 있다. 보고서에 따르면 봇 공격의 27%가 현재 API를 겨냥하고 있으며, 봇은 사용자 인터페이스를 우회해 머신 스피드로 백엔드 시스템과 직접 상호작용할 수 있다.

이러한 공격은 정상적인 인증 절차와 완벽하게 구성된 요청(Request)을 악용하여 합법적인 트래픽으로 위장하는 경우가 많지만, 대규모로 비즈니스 로직을 악용하고 민감한 데이터를 추출하거나 워크플로를 조작한다. 그 영향은 가치가 높은 산업군에서 특히 뚜렷하게 나타난다. 금융 서비스 부문은 전체 봇 공격의 24%, 계정 탈취 사고의 46%를 차지하며, 자동화가 사이버 공격의 직접적 수익화에 어떻게 사용되고 있는지 명확히 보여준다.

머신 주도 상호작용의 새로운 시대 도래

AI 도입이 가속화됨에 따라 인터넷은 이제 근본적으로 머신 중심으로 작동하고 있다고 보고서는 밝힌다. 봇은 더 이상 공격자가 사용하는 단순한 도구가 아니라, 디지털 시스템의 능동적 참여자로서 트래픽 패턴을 형성하고 비즈니스 지표에 영향을 미치며 실시간으로 시스템과 상호작용한다. 이 환경에서 대규모 자동화를 정밀하게 관리하는 능력은 보안, 성능, 신뢰를 유지하는 데 핵심적이다.

통제 불능의 자동화 위협에 대한 대응 전략

보고서는 봇을 식별하고 차단하는 데만 치중하는 기존의 보안 방식으로는, 자동화 트래픽이 이미 일상화되어 있고 정상적인 접근인 경우도 많은 현재의 디지털 환경을 방어하기에 역부족이라고 결론짓는다. 조직은 가시성, 정책 적용, 행동 분석을 결합해 수용 가능한 자동화와 유해한 자동화를 구분하는 거버넌스 기반 모델로 전환해야 한다. 여기에는 어떤 AI 에이전트가 시스템과 상호작용할 수 있는지를 정의하고, API 및 신원 계층에서 보안 통제를 구현하며, 봇이 진화함에 따라 유연하게 적응할 수 있는 방어 체계를 설계하는 것이 포함된다.

출처: 탈레스 그룹(Thales Group)