AI 모델 파일에 악성코드 숨어있다? '피클' 포맷 보안 총정리

AI 모델 파일 안에, 악성코드가 숨어 있을 수 있다

요즘 개발자들 사이에서 '피클(Pickle)'이라는 단어가 심상치 않은 의미로 번지고 있습니다. 그냥 야채 이름이 아니라, AI와 LLM 모델을 저장하는 파일 포맷 이름인데요. 최근 보안업계에서 이 피클 포맷을 두고 '위험하다'는 지적이 잇따라 나오면서 관련 뉴스가 쏟아지고 있습니다.

내용을 들여다보면 단순한 우려가 아닙니다. 글로벌 보안기업 옵스왓(OPSWAT)이 자사 솔루션에 아예 'LLM 스캐닝' 기능을 새로 넣었을 정도로, AI 모델 파일 자체가 새로운 보안 취약점으로 떠오른 상황이거든요. 오늘은 이 피클 포맷이 왜 이렇게 주목받는지, 그리고 이걸 막기 위한 기술은 어떻게 작동하는지 하나씩 풀어보려고 합니다.

덧붙여 재미있는 지점도 하나 있습니다. 똑같이 '피클'이라는 이름을 쓰는 또 다른 존재가 있는데, 이건 파일 포맷이 아니라 실제 AI 에이전트 서비스를 만드는 스타트업입니다. 글 끝에서 이 부분도 짧게 짚어드릴게요.

피클이 왜 보안 이슈로 떴을까

피클(Pickle)은 파이썬에서 객체를 파일로 저장하고 다시 불러올 때 쓰는 직렬화 포맷입니다. AI와 머신러닝 분야에서는 학습된 모델을 저장할 때 오랫동안 널리 쓰여온 방식이기도 합니다. 문제는 이 포맷이 파일을 '불러오는' 과정에서 임의의 코드를 실행할 수 있는 구조라는 점입니다.

쉽게 말하면, 겉보기엔 평범한 AI 모델 파일인데 그 안에 악성 코드가 교묘하게 심어져 있어도 겉으로는 구분이 잘 안 된다는 뜻입니다. 외부에서 공개된 AI 모델을 내려받아 바로 운영 환경에 올리는 경우가 많다 보니, 이 틈을 노린 공급망 공격 위험이 꾸준히 지적돼 왔습니다.

실제로 보안 전문가들 사이에서는 '피클 파일은 믹서기에 폭탄을 숨겨 받는 것과 비슷하다'는 표현까지 나올 정도로, 구조적인 위험성이 오래전부터 경고돼 온 포맷입니다. 그런데도 성능과 편의성 때문에 여전히 널리 쓰이고 있다는 점이 아이러니하죠.

메타디펜더 이더, 뭘 새로 넣었나

이런 흐름 속에서 옵스왓이 내놓은 게 '메타디펜더 이더(MetaDefender Aether)' v3.3.0 업데이트입니다. 국내에서는 인섹시큐리티가 이 솔루션을 공급하고 있는데요. 이번 업데이트의 핵심은 기존의 5단계 제로데이 위협 탐지 체계 가운데, 정적 분석과 동적 분석 단계에 대규모 언어모델(LLM) 스캐닝 기능을 새로 추가한 것입니다.

이 업데이트로 분석 대상이 일반 파일뿐 아니라 AI·머신러닝 모델 파일까지 확대됐습니다. 지원하는 파일 형식도 피클, 파이토치, 텐서플로, 케라스, 세이프텐서를 포함해 총 7개 모델 파일 형식에 이르고, 30개 이상의 전용 위협 지표를 활용해 파일 구조를 분석한다고 합니다.

기업 입장에서는 외부에서 확보한 AI 모델을 운영 환경에 올리기 전에, 파일과 실제 동작을 함께 점검할 수 있게 된 셈입니다. 그동안 'AI 모델은 그냥 가져다 쓰면 된다'는 인식이 많았던 걸 생각하면, 꽤 의미 있는 변화로 보입니다.

9개 공격 유형, 뭘 잡아내나

이번 LLM 스캐닝이 검사하는 공격 행위는 크게 9개 범주로 나뉩니다. 프롬프트 인젝션, 민감정보 노출, AI 공급망 침해, 데이터 및 모델 오염, 과도한 에이전트 도구 오용 등이 포함됩니다.

이름만 보면 어렵게 느껴질 수 있는데, 풀어보면 생각보다 익숙한 위험들입니다. 프롬프트 인젝션은 AI에게 몰래 다른 명령을 끼워 넣어 원래 의도와 다른 답변이나 행동을 끌어내는 공격이고, 민감정보 노출은 모델이 학습 과정에서 흡수한 개인정보나 기밀이 답변 중에 흘러나오는 문제입니다.

공급망 침해와 데이터·모델 오염은 결국 '내가 받아 쓰는 모델이 처음부터 오염돼 있었다'는 시나리오와 맞닿아 있습니다. AI를 도구로만 보던 시대를 지나, 이제는 AI 모델 자체가 하나의 공격 대상이자 공격 수단이 될 수 있다는 걸 보여주는 사례라고 할 수 있습니다.

정적분석 vs 동적분석 차이

메타디펜더 이더의 분석 방식은 크게 정적 분석과 동적 분석 두 가지로 나뉩니다. 정적 분석은 모델을 직접 실행하지 않고 파일 구조만 들여다봐서 잠재적인 악성 요소를 찾아내는 방식입니다. 안전하게, 먼저 겉을 살펴보는 단계라고 보면 됩니다.

반면 동적 분석은 모델을 실제로 동작시켜 어떤 반응과 결과를 내놓는지 직접 테스트해보는 방식입니다. 서로 다른 유형의 위협을 잡아내기 위해 두 방식을 함께 사용한다는 점이 이번 업데이트의 핵심 구조라고 할 수 있습니다.

온라인 보안 커뮤니티에서는 '진작 이런 검사가 필요했다'는 반응이 많았습니다. 동시에 '그만큼 AI 모델 생태계가 이미 위험해졌다는 신호'라는 다소 우려 섞인 의견도 함께 나오고 있습니다.

그런데 피클이 하나 더 있다?

여기서 흥미로운 지점이 하나 더 있습니다. 보안 이슈의 주인공인 '피클 포맷'과는 완전히 별개로, '피클(Pickle)'이라는 이름을 쓰는 AI 에이전트 서비스 스타트업도 실제로 존재합니다.

SK하이닉스는 최근 OCP(오픈 컴퓨트 프로젝트) 행사에서 '메모리 중심 AI 서버' 구조를 선보였는데, 이 과정에서 퍼스널 AI 에이전트 서비스 업체 피클과 함께 풀드 메모리를 활용해 서비스 응답 지연을 줄이는 기술을 시연했습니다. 여러 AI 모델 사이에서 데이터를 전달하는 과정을 풀드 메모리 기반 스트리밍 방식으로 처리해, 긴 문맥을 다루는 LLM 추론 환경에서 지연을 줄이는 데모였습니다.

즉 '피클'이라는 같은 이름이 한쪽에서는 보안 취약점으로, 다른 한쪽에서는 메모리 효율화 기술로 동시에 뉴스에 등장하고 있는 셈입니다. 검색할 때 헷갈리기 쉬운 부분이라 함께 알아두면 유용할 것 같습니다.

AI 모델, 그냥 받아서 쓰면 안 되는 이유

정리하면, AI와 LLM이 일상적인 도구가 된 지금, 모델 파일 자체의 안전성을 따로 검증해야 하는 시대가 온 것으로 보입니다. 특히 피클 포맷처럼 코드 실행이 가능한 구조는 그 자체로 위험 요소를 안고 있다는 점을 다시 한 번 확인할 수 있었습니다.

기업이나 개발자라면 외부에서 받은 모델을 그대로 운영 환경에 올리기 전에, 이런 보안 검사 단계를 한 번쯔음 거치는 습관이 필요해 보입니다. 개인 사용자도 어디서 받은 모델인지, 믹서기처럼 검증 없이 돌려도 되는 파일인지 한 번쯔음 의심해보는 게 좋겠습니다.

기술이 발전하는 속도만큼 노려지는 틈도 같이 늘어난다는 걸 다시금 느끼게 되는 소식이었습니다. 피클이라는 이름 하나에 이렇게 다른 두 가지 이야기가 겹쳐 있다는 점도 꽤 신기한 발견이었네요.

AI 모델 파일에도 이런 보안 이슈가 있다는 거, 주변 개발자나 관심 있는 분들에게 공유하거나 저장해두세요.

[ 사진 출처 : 네이버 포토뉴스 ]