[CBC뉴스] 인공지능(AI)이 기존에 사람만이 통과할 수 있다고 여겨졌던 캡차(CAPTCHA) 퍼즐을 해결하면서, 인터넷에서 인간과 기계를 구분하는 방식에 변화가 일고 있다.

최근 오픈AI의 개발자 샤리프 샤밈은 컴퓨터를 직접 제어할 수 있는 AI 모델 'GPT-6 아스트라'를 활용해 온라인 퍼즐 게임 '로봇이 아닙니다'의 48단계를 모두 완료했다고 밝혔다. 이 게임은 닐 아가왈이 제작했으며, 왜곡된 문자 판독, 이미지 선택, 원 그리기, 리듬 맞추기, 자동차 주차 등 다양한 과제로 구성되어 있다. 게임을 마치면 '인간 증명서'가 발급된다. 다만, 이 게임은 실제 웹사이트에서 사용되는 상용 캡차 시스템은 아니다.

캡차는 원래 컴퓨터와 인간을 구별하기 위해 도입된 자동화 테스트로, 초기에는 왜곡된 문자를 읽게 하거나 이미지를 골라내는 방식이 주로 사용됐다. 하지만 광학문자인식(OCR) 등 기술이 발달하면서 캡차의 난이도도 높아졌고, 신호등이나 소화전이 담긴 이미지를 선택하게 하거나, 물체를 정해진 위치로 옮기는 등 시각·공간 인지 과제가 추가됐다.

최근에는 멀티모달 AI와 비전언어모델(VLM)이 발전하면서, AI가 시각 정보를 이해하고 문제를 해결하는 능력이 크게 향상됐다. 정보보안 학회 'USENIX 시큐리티 2025' 연구에 따르면, 비전언어모델 기반 AI가 26종, 2천600개 시각 캡차 문제 중 60.7%를 풀어냈다. 연구진은 범용 AI 모델의 등장이 시각 캡차의 기존 전제를 흔들고 있다고 분석했다.

캡차를 우회하는 비용도 낮아지고 있다. 과거에는 사람이 직접 자동 프로그램을 대신해 캡차를 풀었지만, 이제는 AI가 이미지 인식과 컴퓨터 조작을 스스로 처리할 수 있게 되면서 자동화 공격의 위험이 커지고 있다. 이로 인해 콘서트 표, 한정판 상품 선점, 가짜 계정 생성, 데이터 무단 수집 등 다양한 악용 가능성도 제기된다.

보안업계는 대응 전략을 변경하고 있다. 기존에는 이용자에게 직접 퍼즐을 풀게 했지만, 최근에는 접속자의 행동 패턴과 기기 신호를 백그라운드에서 분석해 위험도를 평가하는 '보이지 않는 캡차' 방식이 도입되고 있다. 마우스 움직임, 스크롤, 키보드 입력, 네트워크 정보 등을 종합적으로 분석해 정상 이용자와 자동화 프로그램을 구분한다.

AI 에이전트가 실제로 웹브라우저를 조작하면서, 단순한 퍼즐 해결 능력만으로는 인간과 기계를 구분하기 어려워졌다. 이에 따라 보안의 초점은 '사람이냐 기계냐'에서 '누가 어떤 목적으로 무엇을 하려는가'로 이동하고 있다. 앞으로는 정상적인 AI와 악성 봇을 구분하는 문제가 더욱 중요해질 것으로 보인다.

이러한 변화는 실제 보안 기술에도 반영되고 있다. 구글 클라우드는 위험 수준에 따라 추가 인증을 요구하는 기술을 확대하고 있으며, 위험도가 높을 경우 스마트폰 QR코드 인증을 요구하는 'AI 저항형 QR 코드 챌린지'를 도입했다. 결제나 계정 변경 등 중요한 순간에는 실제 사용자가 개입하도록 설계해 대규모 자동 공격을 어렵게 하고 있다.

한편, 온라인에서 인간임을 증명하는 방법 자체를 바꾸려는 시도도 진행 중이다. 샘 올트먼이 공동 설립한 툴스포휴머니티의 'World ID'는 전용 기기 '오브'(Orb)로 눈과 얼굴을 촬영해 실제 존재하는 사람임을 확인하고, 이를 온라인에서 증명할 수 있도록 한다.

AI 에이전트가 확산하면서 인증 과정에서 AI의 권한 범위도 중요해지고 있다. 예를 들어, AI가 단순 검색만 가능한지, 실제 예약과 결제까지 가능한지에 따라 권한을 구분하는 방식이 논의되고 있다. 국내 보안업계의 한 전문가는 AI 시대에는 "AI 에이전트의 권한과 행위 이력을 확인하고 통제하는 보안 체계가 중요해질 것"이라고 말했다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 전 세계 팬덤의 결집, cbcglobe.com ▶
★ 돈돈돈, 남몰래 혼자 보는 – 돈 되는 뉴스 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자