해커는 악성코드를 .pdf로 위장한다

해커는 악성코드를 .pdf로 위장한다.
기존 보안 도구는 이걸 PDF라고 믿어준다.
Google은 그래서 AI를 투입했다.

Google이 Magika라는 도구를 오픈소스로 공개했다.
AI로 파일의 진짜 정체를 판별하는 도구인데, 성능이 좀 미친 수준이다.
수 MB짜리 모델 하나로 200개 넘는 파일 유형을 밀리초 만에 판별한다.
정확도 99%. 1억 개 샘플로 훈련했다.

왜 이게 중요하냐면,
악성 파일은 확장자를 바꿔서 보안 시스템을 통과하려고 한다.
실행 파일을 .pdf로, 스크립트를 .txt로 위장하는 식이다.
기존 방식(libmagic, file 명령어)은 파일 앞부분의 매직 바이트만 보고 판단한다.
공격자가 매직 바이트를 조작하면 뚫린다.
Magika는 딥러닝으로 파일 전체의 콘텐츠 패턴을 학습했기 때문에 우회 난이도가 다른 차원이다.

Google은 이걸 장난감으로 만든 게 아니다.
Gmail, Drive, Safe Browsing에서 매주 수천억 건의 파일을 이걸로 분류하고 있다.
VirusTotal과 abuse.ch도 이미 Magika를 통합했다.
보안 인프라의 최전선에서 실전 검증된 도구다.

실제로 어디에 쓸 수 있냐면.
- 사내 메일 서버에 붙여서 첨부파일 자동 검역
- 업로드 API 앞단에서 "이미지라고 올렸는데 실행 파일이네" 차단
- 포렌식 분석할 때 확장자 다 지워진 파일 수천 개를 일괄 분류
- SaaS라면 사용자가 올리는 파일의 진짜 유형을 검증하는 것만으로 보안 레이어 하나가 추가된다
pip install magika 한 줄이면 시작이다. Rust CLI, JS, Go 바인딩도 있다.
Apache 2.0. 오픈소스다.

보안의 가장 기초적인 단계는
"이 파일이 뭔지 아는 것"이다.
그 기초에서부터 AI가 30년 된 규칙 기반 도구를 대체하고 있다.
13,600 스타. 조용히 퍼지고 있다.