얼마 전, OpenAI가 자사 AI 모델이 자율적으로 샌드박스 테스트 환경을 탈출해 허깅페이스(Hugging Face)의 시스템을 해킹한 사건을 공개했습니다. 모델은 사이버보안 평가 시험의 정답을 훔치기 위해 스스로 취약점을 찾아 침입 경로를 뚫었고, OpenAI는 그 경로가 된 취약점을 '제로데이'로 규정했습니다. 넷플릭스 드라마 《제로데이》가 머릿속에 떠오른 건 이 때문이었습니다.
제로데이란 무엇인가
제로데이는 소프트웨어나 시스템에 존재하지만 아직 개발사나 방어 측이 인지하지 못한 보안 취약점을 뜻합니다. 이름의 유래는 취약점이 공개되거나 악용된 시점을 기준으로, 개발사가 이를 막을 수 있었던 날이 '0일'이었다는 데서 옵니다. 방어할 시간이 전혀 없었다는 뜻입니다. 공격자가 이 틈을 먼저 찾아내면, 패치가 나오기 전까지는 사실상 무방비 상태가 됩니다. 역사상 가장 널리 알려진 사례는 2010년 이란 나탄즈 원자력 시설의 원심분리기를 물리적으로 파괴한 스턱스넷으로, 이는 제로데이 취약점 네 개를 동시에 악용해 사이버 공격이 현실의 기반 시설을 무너뜨릴 수 있음을 처음으로 증명한 사건이었습니다.
드라마 안에서 제로데이는 어떻게 다뤄지는가
《제로데이》에서 이 용어는 제목이자 사건의 정체 그 자체입니다. 국가 통신망과 전력망이 동시에 정지하며 3,000명 이상이 사망하는 초반 공격은, 방어 측이 존재조차 몰랐던 취약점을 통해 이뤄진 일로 설정됩니다. 전직 대통령 조지 멀린은 이 공격의 배후를 밝히기 위해 초헌법적인 권한을 부여받은 위원회를 이끌게 됩니다.
수사는 처음엔 러시아를, 다음엔 국내 극단주의 조직 '리퍼스'를 겨눕니다. 그러나 수십 명이 넘는 시민을 구금하고 심문해도 단서는 나오지 않고, 은행을 겨냥한 두 번째 소규모 공격이 벌어지면서 국가는 다시 혼란에 빠집니다. 결국 멀린이 밝혀낸 진실은 외부의 적이 아니라 내부에 있었습니다. 하원의장 리처드 드라이어와 멀린 자신의 딸 알렉스, 그리고 전국 단위로 쓰이는 빅테크 앱 '패노폴리'에 해킹 코드를 심어 유포한 테크 기업 대표 모니카 키더가 이 공격을 함께 기획하고 실행한 핵심 주모자였습니다. 분열된 국가를 통합할 공동의 적을 스스로 만들어낸 것입니다. 여기에 헤지펀드 거물 로버트 린든이 음모를 눈치채고 이 혼란을 이용해 시장을 조작하려 하면서 판이 한층 복잡해집니다. 극은 시종일관 '누가 뚫었는가'라는 질문으로 시청자를 끌고 가지만, 마지막에 드러나는 것은 애초에 뚫을 필요조차 없었다는 사실입니다. 문을 연 사람들이 이미 안에 있었기 때문입니다.
멀린은 이 전말을 알아낸 뒤, 현직 대통령 미첼과 정계의 은폐 압박에 부딪힙니다. 진실의 규모가 감당하기 어려울 만큼 크다는 것을 안 미첼은 이름을 지우고 묻어달라고 요청합니다. 그러나 멀린은 전국에 생중계되는 하원 청문회 자리에서, 자신의 딸을 포함한 관련자 전원의 실명을 공개적으로 밝힙니다. 자신과 딸의 삶이 무너지는 것을 감수하고서라도 진실을 택한 것입니다. 그가 쓰던 회고록을 불태우는 장면은, 진실을 감당하지 못해서가 아니라 명예를 위해 다듬어온 그 기록이 이제 더 이상 의미가 없어졌다는 뜻에 가깝습니다.
파급력은 닮았지만, 원인은 달랐던 사건
제로데이에서 다룬 이 정도 규모의 국가적 마비를 실제로 겪은 사례가 있습니다. 2024년 7월 19일의 크라우드스트라이크 사태입니다. 보안업체 크라우드스트라이크가 배포한 윈도우용 콘텐츠 업데이트 파일의 결함으로, 전 세계 약 850만 대의 윈도우 시스템이 동시에 다운됐습니다. 항공사는 발권과 운항 관리 시스템을 잃었고, 은행과 병원, 방송사, 공공안전 시스템까지 함께 멈췄습니다. 전 세계적으로 5,078편의 항공편이 결항했습니다. 미국 의회조사국(CRS)은 이 사고가 항공, 은행, 병원, 정부 기관과 공공안전 시스템에 걸쳐 서비스를 중단시켰다고 기록했습니다.
다만 이 사건에는 드라마 제로데이와는 결정적으로 다른 지점이 하나 있습니다. 크라우드스트라이크는 사고 당일 공식 성명에서 이것이 사이버 공격이 아니었다고 밝혔습니다. 이후 공개한 사고 경위 보고서에서도 결론은 같았습니다. 정기 운영 과정에서 배포한 콘텐츠 구성 업데이트로 인해 발생한 장애였다는 것입니다. 미 회계감사원(GAO)은 이를 역사상 최대 규모의 IT 장애 중 하나로 평가했습니다. 침입자도, 기획자도, 노린 표적도 없었습니다. 있었던 것은 검증되지 않은 채 전 세계에 동시 배포된 파일 하나뿐이었습니다.
세 사건을 나란히 놓고 보면
OpenAI의 사고에는 공격 의도를 가진 인간이 없었습니다. AI 모델이 시험을 통과하겠다는 목표 하나로 스스로 침입 경로를 찾아냈을 뿐입니다. 크라우드스트라이크 사고에도 공격자는 없었습니다. 검증을 거치지 않은 업데이트 파일 하나가 원인의 전부였습니다. 두 사건 모두 국가나 사회 단위의 마비를 일으킬 만큼 파급력이 컸지만, 그 뒤에서 잡아낼 만한 얼굴은 끝내 없었습니다.
반면 《제로데이》가 그리는 재난에는 처음부터 끝까지 뚜렷한 설계자가 있습니다. 이 설계자를 찾는 내용이 극 전반을 지배합니다. 러시아, 국내 극단주의 조직, 정체불명의 해커 집단까지 훑고서야 진실에 닿습니다. 그리고 그 진실이 드러난 순간, 드라마 제로데이는 진실을 감추는 쪽이 아니라 밝히는 쪽을 택합니다. 멀린은 은폐하라는 권력의 요구를 거절하고, 딸을 포함한 관련자 전원의 이름을 전국에 공개합니다. 진실을 안 뒤에 밀려오는 파장은 감수해야 하지만 그의 말대로 옳은 일을 할 수 있을 때마다 나라를 구할 기회가 생기는 것이기도 합니다.
현실의 두 사건과 드라마는 다릅니다. 현실에서는 설계자 없이도 국가급 마비가 일어날 수 있다는 것이 이미 증명됐습니다. 시스템의 결함 하나, 목표를 향해 움직인 AI의 자율적 판단 하나로도 충분했습니다. 하지만 정치적 상상력이 그리는 재난에서는 사정이 다릅니다. 사람들은 이 정도 규모의 붕괴 앞에서 여전히 배후를 찾고, 그 배후가 밝혀졌을 때 감당해야 할 것이 얼마나 큰지를 끝까지 보여줍니다. 어쩌면 진짜 무서운 것은 원인을 찾을 수 없는 재난이 아니라, 원인을 찾아냈을 때 그 진실을 마주할 각오가 되어 있는가 하는 질문일지도 모릅니다.