Seeing is Not Believing: Breaking the Physical-to-Digital Trust Boundary in Robotics

로봇은 더 이상 공장 구석에서 정해진 스크립트를 따르는 고립된 기계가 아닙니다. 그들은 창고나 우주 탐사 현장과 같은 복잡한 환경에서 인간 및 다른 로봇들과 함께 협력하는 동료가 되어가고 있습니다. 이러한 팀워크가 제대로 작동하려면, 한 로봇이나 인간 관리자는 다른 로봇이 주장하는 대로 실제로 행동하고 있다고 믿을 수 있어야 합니다. 인간이 모든 로봇의 일거수일투족을 지켜보는 것은 불가능하기 때문에, 이 시스템들은 로봇의 팔이 어디를 향하고 있는지 또는 카메라가 무엇을 보고 있는지와 같은 로봇의 행동을 알려주는 디지털 보고서, 즉 텔레메트리(telemetry)에 의존합니다. 이는 결정적인 신뢰의 선을 형성합니다. 디지털 보고서는 물리적 현실을 충실히 반영하는 거울이어야 합니다. 만약 보고서에 로봇이 패키지를 집어 올렸다고 기록되어 있다면, 검증자는 실제로 패키지가 로봇의 손에 쥐어져 있다고 가정합니다. 이제 연구자들이 던지는 질문은, 그 디지털 거울이 깨져서 로봇이 실제로는 전혀 다른 일을 하면서도 겉으로는 한 가지 일을 하는 것처럼 보이게 할 수 있는지 여부입니다.

한 연구팀은 이 신뢰의 경계가 생각보다 훨씬 취약하다는 사실을 발견했습니다. 그들은 로봇이 위험하거나 승인되지 않은 작업을 수행하는 동시에, 이를 지켜보는 사람이나 시스템에는 완벽하게 조작된 가짜 보고서를 보내도록 속이는 방법을 찾아냈습니다. 이 공격은 로봇들이 서로 대화하게 만드는 소프트웨어, 특히 현대 로봇 공학의 표준 언어인 ROS 2라고 불리는 시스템을 겨냥합니다. 연구진은 공격자가 로봇의 핵심 운영 체제를 해킹하거나 비밀번호를 훔칠 필요가 없음을 보여주었습니다. 대신, 공격자는 컴퓨터 환경의 설정 하나를 변경하여 메시지가 외부로 전송되기 전에 이를 가로채는 숨겨진 도구를 삽입할 수 있습니다. 이 도구는 마치 침묵하는 편집자처럼 작동하여, 로봇의 센서로부터 들어오는 실제 데이터를 완전히 조작된 버전으로 교체하며, 이 버전은 실제 데이터와 똑같이 보이도록 만들어집니다.

이를 입증하기 위해 연구팀은 물리적인 로봇 팔을 설치하고 물체를 집어 특정 위치에 놓는 작업을 실행했습니다. 실제 세계에서 공격자는 로봇을 하이재킹하여 로봇이 다른 방향으로 움직이거나 다른 동작을 수행하도록 강제했습니다. 그러나 로봇의 디지털 보고서에 의존하는 모니터링 시스템은 아무런 이상을 감지하지 못했습니다. 공격자의 소프트웨어는 로봇이 원래 수행했어야 할 동작과 완벽하게 일치하는 가짜 데이터 스트림을 생성했습니다. 모니터링 시스템은 비디오 피드와 관절 위치 목록을 받았으며, 이는 매우 정상적으로 보여 작업이 성공적으로 완료되었음을 확인해주었습니다. 하지만 실제 물리적 로봇은 전혀 다른 행동을 하고 있었습니다. 연구진은 이 공격을 해킹 방지용 보안 버전 소프트웨어가 탑재된 실제 Franka Emika 로봇 팔을 대상으로 테스트했습니다. 공격은 매번 성공적이었으며, 로봇이 승인되지 않은 행동을 수행하는 동안 시스템을 완벽하게 속였습니다.

이 공격의 성공은 현재 적용된 보안 조치들이 메시지가 네트워크를 통해 이동하는 동안만 보호할 뿐, 메시지가 생성되는 순간은 보호하지 못한다는 사실에 기반합니다. 연구진은 메시지가 전송을 위해 패키징되기 전, 즉 소프트웨어 내부에서 메시지가 만들어지는 시점에 숨겨진 도구를 삽로함으로써, 보안 요원이 확인하기도 전에 이야기를 다시 쓸 수 있다는 것을 발견했습니다. 그들이 생성한 가짜 데이터는 너무나 설득력이 있어서 연구진이 던진 모든 테스트를 통과했습니다. 연구진은 불가능한 속도를 찾거나, 움직임이 수학적으로 타당한지 확인하거나, 실제 기계가 항상 가지고 있는 미세하고 자연스러운 진동을 분석하는 등의 방법으로 사기를 탐지하려 노력했습니다. 가짜 데이터에는 이러한 미세하고 현실적인 진동과 로봇의 각 부분 사이의 올바른 수학적 관계가 포함되어 있었습니다. 실제로 가짜 데이터는 너무나 정교하여 서로 다른 두 대의 실제 로봇이 동일한 작업을 수행할 때 나타나는 자연스러운 변동과 구별할 수 없을 정도였습니다.

이 공격의 가장 놀라운 측면 중 하나는 얼마나 쉽게 확산될 수 있는가 하는 점입니다. 연구진은 로봇의 소프트웨어 생태계가 로봇 실행에 필요한 모든 도구를 담고 있는 디지털 상자와 같은 '컨테이너'에 크게 의존하고 있다는 사실을 발견했습니다. 연구진은 수천 개의 컨테이너를 분석한 결과, 매우 많은 수가 검증되지 않은 개인들에 의해 생성되었다는 것을 알아냈습니다. 공격자는 이 숨겨진 하이재킹 코드가 포함된 인기 있고 유용해 보이는 도구를 배포하기만 하면 됩니다. 로봇 개발자가 이 도구를 다운로드하여 사용하면, 악성 코드가 자동으로 설치되어 개발자가 인지하지 못한 채 공격자에게 발판을 제공하게 됩니다. 이는 이 취약점이 단순히 이론적인 위험이 아니라, 개발자들이 시스템을 구축하기 위해 사용하는 도구들을 통해 널리 유포될 수 있는 실질적인 위험임을 의미합니다.

연구진은 또한 이 기만 행위가 이상 징치를 포착하도록 설계된 인공지능 탐지기까지 속일 수 있는지 테스트했습니다. 실제 하드웨어의 미묘한 패턴을 인식하도록 훈련된 탐지기를 상대로도, 이 공격은 87%의 확률로 성공했습니다. 탐지기가 나머지 13%를 잡아낼 수 있었던 유일한 이유는 실제 로봇의 움직임이 가진 미세한 타이밍을 완벽하게 재현하는 것이 매우 어렵기 때문이었지만, 대다수의 경우 가짜 데이터는 진짜로 받아들여졌습니다. 이는 현재 로봇 보안의 근본적인 한계를 드러냅니다. 즉, 데이터의 전송을 보호하는 것이 데이터가 물리적 세계의 진실을 반영한다는 것을 보장하지는 않는다는 것입니다. 연구진은 이 결과를 로봇 소프트웨어 개발자들에게 공유하며, 해결책은 신뢰를 구축하는 방식을 바꾸는 것이며, 검증의 지점을 보고되는 상태를 전달하는 소프트웨어가 아닌 물리적 센서 자체로 되돌려야 한다고 강조했습니다.

이 연구는 로봇이 본질적으로 안전하지 않다거나 곧 해커들에게 점령당할 것이라는 뜻은 아니지만, 로봇의 행동을 검증하는 방식에 결함이 있음을 폭로합니다. 이 공격은 디지털 기록이 물리적 현실과 놀라울 정도로 쉽게 분리될 수 있음을 보여주는 개념 증명(proof of concept)입니다. 이는 보안된 통신 채널이 로봇이 말하는 대로 행동하고 있음을 보장하기에 충분하다는 가설에 도전합니다. 연구진의 작업은 로봇이 더 자율적이고 상호 연결됨에 따라, 우리가 그들을 신뢰하는 방법 또한 우리가 보는 증거가 정교하게 만들어진 환상일 가능성까지 고려하여 진화해야 한다는 경고의 메시지를 담고 있습니다. 앞으로 나아갈 길은 데이터의 원천에 신뢰를 고정하여, 물리적 측정값 자체가 소프트웨어 시스템에 입력되기 전에 서명되고 보안 처리되도록 보장하는 데 있습니다.