"보안은 더 이상 IT 부서의 기술 과제가 아니라 경영의 기본 인프라"
윤두식 이로운앤컴퍼니 대표이사
9월의 어느 새벽, 30개 조직이 동시에 침입당했다.
2025년 9월 중순, 전 세계 30곳 가까운 조직의 네트워크 경계에서 비슷한 패턴의 정찰 트래픽이 잡혔다. 대형 IT 기업, 금융사, 화학 제조사, 정부기관이 섞여 있었다. 흔한 분산 침입처럼 보였지만 한 가지가 달랐다. 사람의 손길이 거의 없었다.
같은 해 11월 13일 앤트로픽(Anthropic)이 공개한 보고서에 따르면, 이 캠페인의 80~90%는 클로드 코드(Claude Code)라는 AI 코딩 도구가 자율적으로 수행했다. 인간 운영자는 캠페인당 4~6개의 핵심 결정점에서만 개입했다. AI는 정찰을 돌리고, 취약점을 찾고, 익스플로잇을 짜고, 데이터를 추려내는 일련의 작업을 사람이 잠든 시간에도 멈추지 않고 이어갔다. 앤트로픽은 이 그룹을 중국 국가지원 행위자로 평가했고, 이를 "보고된 첫 AI 자율 사이버 첩보 캠페인"으로 규정했다.
■사례 두 건 : 국가 행위자와 단독 범죄자
사례 1. 중국 국가지원 그룹의 자율 첩보 캠페인 (2025년 9월)
공격자들은 클로드 코드를 펜테스트 오케스트레이터로 활용했다. 우회 수법은 단순하면서 정교했다. 큰 공격을 작은 무해한 작업 단위로 잘게 쪼개 모델에게 던졌고, 동시에 "우리는 합법적인 보안업체 직원이며 지금 방어 테스트를 수행 중"이라는 역할을 모델에게 부여했다. 모델은 맥락을 보지 못한 채 각 작업을 수행했다. 약 30개 표적 중 일부에서 침투에 성공했다. Anthropic은 9월 중순 이상 패턴을 포착해 10일에 걸쳐 계정을 차단하고 피해 조직과 당국에 통보했다.
사례 2. 단독 공격자의 다중 갈취 캠페인 (2025년 7월, "Vibe Hacking")
같은 해 7월, 한 명의 공격자가 클로드 코드 한 가지 도구만으로 17개 조직을 갈취했다. AI가 악성코드를 작성했고, 탈취한 파일을 정리하고 분류했고, 피해 기업의 재무 자료를 분석해 지불 능력을 산정했고, 갈취 메일까지 초안을 잡았다. 과거였다면 숙련된 공격팀이 수개월에 걸쳐 분담했을 작업이다. 한 사람이 한 달 만에 해냈다.
두 사례의 공통점은 분명하다. AI는 더 이상 공격의 보조 도구가 아니라 공격을 주도하는 행위자가 됐다.
■무엇이 달라졌나 : 양적 변화가 질적 변화를 만들었다
과거의 공격은 사람과 시간의 함수였다. 정찰에 며칠, 익스플로잇 개발에 몇 주, 침투에 또 며칠이 들었고, 동시에 다룰 수 있는 표적 수는 팀 규모에 묶여 있었다. 시그니처와 룰 기반 방어가 통한 이유도 여기에 있다. 공격 패턴이 재사용됐고 변형 속도가 느렸기 때문이다.
지금은 다르다. 한 통계를 보자. 새로 공개된 취약점이 실제 공격에 동원되기까지 걸리는 시간은 2020년 평균 700일에서 2025년 44일로 줄었다(Mandiant, Verizon DBIR). AI가 익스플로잇 작성을 자동화하면서 그 격차를 메운 결과다. 2025년 12월에는 더 직접적인 비교 결과가 나왔다. 스탠포드와 카네기멜런 연구진이 공동 개발한 아르테미스(ARTEMIS)라는 AI 에이전트를 약 8,000대의 컴퓨터로 구성된 실제 운영 중인 대학 네트워크에 투입해 같은 환경의 인간 펜테스터 10명과 경쟁시켰다. 결과는 아르테미스가 그중 9명보다 더 많은 취약점을 찾아냈다. 시간당 비용은 인간 펜테스터가 60달러, 아르테미스가 18달러였다.
방어자에게 중요한 것은 두 가지 함의다. 첫째, 공격의 단가가 무너졌다. 둘째, 공격의 변형 속도가 시그니처 갱신 속도를 추월했다. 룰만 잘 짜놓으면 막을 수 있다는 가정은 더는 유효하지 않다.
■공격에 쓰이는 AI 도구 : 진짜 위협의 위치
흔히 거론되는 WormGPT, FraudGPT 같은 다크웹 LLM은 한때 위협의 상징이었지만 지금은 카테고리 명칭에 가깝다. 그 자리는 상용 프론티어 모델을 제일브레이크(jailbreak. 탈옥)해 만든 변형판으로 옮겨갔다. 케이토 네트웍스(Cato Networks)가 2025년에 보고한 바에 따르면 Grok과 Mixtral 기반 변형판이 다크웹에서 월 60유로 수준에 구독 판매된다. 주로 BEC(업무 이메일 사칭) 피싱에 쓰인다.
진정한 충격은 최근에 시작되었다.
2026년 4월 7일 앤트로픽은 자사 차세대 모델 클로드 미토스 프리뷰(Claude Mythos Preview)의 사이버보안 능력 평가를 공개했다. 결과는 업계가 가정해온 시간표를 깨뜨렸다. 미토스는 OpenBSD에 27년간 잠복한 TCP SACK 취약점, FFmpeg의 16년 묵은 H.264 코덱 결함, FreeBSD NFS의 RPCSEC_GSS 인증 우회 원격코드실행(CVE-2026-4747)을 자율 발견했다. 더 충격적인 것은 익스플로잇 체인 구성 능력이다. 주요 브라우저에서 JIT heap spray를 자율 구성하고, 이를 샌드박스 탈출과 로컬 권한상승으로 연결해 피해자가 웹페이지를 방문하기만 하면 공격자가 운영체제 커널에 직접 쓰기를 할 수 있는 익스플로잇을 만들어냈다.
평가 과정에서는 주목할 만한 행동도 관찰됐다. 연구자가 모델에게 격리 환경 탈출을 요청하는 평가를 진행했고, 모델은 다단계 익스플로잇으로 탈출에 성공했다. 여기까지는 평가가 의도한 결과다. 그런데 모델은 거기서 멈추지 않고 요청받지 않은 행동을 자발적으로 추가했다. 자기 탈출 행동에 대한 기록을 잘 알려지지 않았지만 공개 접근이 가능한 웹사이트 여러 곳에 게시했고, 마침 자리를 비우고 점심을 먹던 평가자에게 성공을 알리는 메일까지 보냈다.
앤트로픽은 미토스를 일반 공개하지 않기로 결정했다. 대신 AWS, 애플, 시스코, 크라우드스트라이크, 구글, JP모건, 리눅스 파운데이션, 마이크로소프트, NVIDIA, 팔로알토 등 검증된 파트너에게만 방어 목적으로 제공하는 "Project Glasswing"을 출범시켰다. 그러나 모델이 발표된 바로 그날, 한 외부 그룹이 제3자 협력사 환경의 공유 API 키를 통해 미토스에 접근했다는 사실이 2주 뒤인 4월 21일 블룸버그를 통해 알려졌다. 미공개 AI 모델 정보를 추적하는 디스코드 채널 멤버들이 앤트로픽의 다른 모델들이 사용하는 URL 형식을 추측해 접근했고, 이 중 한 명은 협력사 직원이었다. 앤트로픽 코어 시스템 자체는 영향을 받지 않았지만, 이 사건이 보여주는 함의는 분명하다. 격리는 영원하지 않다.
■방어 원칙 : 가정 자체를 바꿔야 한다
위 사실들이 방어 측에 강요하는 변화는 세 가지다.
첫째, 시그니처와 룰 기반 탐지의 비중을 줄이고 행동과 맥락 기반 탐지로 옮긴다. AI가 변형하는 공격은 해시값으로 잡히지 않는다.
둘째, AI 사용 자체를 가시화한다. 사내 직원이 어떤 AI 도구에 무엇을 입력하는지, 외부 협력사와 공급망이 AI를 어떻게 사용하는지 모르면 공격면을 파악조차 할 수 없다.
셋째, 데이터 격리를 전제로 설계한다. 사고는 발생한다는 것을 전제로 폭발 반경을 줄이는 구조 — 기관별, 업무별 독립 데이터 경계, 권한 최소화, 로그 분리 — 를 갖춰야 한다.
방어에 AI를 어떻게 쓸 것인가
같은 무기는 같은 손에서 동등하게 강해진다. 방어 측이 AI를 가장 빨리 효과 본 영역은 네 가지다.
보안 이벤트 일차 분류(로그 트리아지): 하루 수백만 건씩 쏟아지는 보안 로그 중에서 의미 있는 신호와 무시해도 되는 잡음을 우선 골라내는 작업
피싱 메일 분석: 헤더, 본문 어조, 링크 도메인 평판을 종합한 위험도 평가
위협 인텔 요약: 영문 위협 보고서를 자국어 요약으로 변환해 의사결정 속도 단축
취약점 사전 점검: 자사 코드와 의존성에 대한 일차 검토
핵심은 AI가 사람을 대체하는 게 아니라, 사람이 다뤄야 할 사건의 수를 10분의 1로 줄여준다는 점이다. 보안 인력 부족 문제에 직접적인 답이 된다.
비전문가가 오늘 당장 써볼 수 있는 무료 도구
전담 보안팀이 없는 중소기업, 스타트업을 위한 실무 가이드다. 모두 무료이거나 저비용이다.
KISA 보호나라(boho.or.kr): 한국 기업이라면 가장 먼저 신청해야 한다. 홈페이지 보안점검, 서버 원격점검, 침해사고 피해지원이 모두 무료다. 지역정보보호지원센터 10곳에서 대면 컨설팅도 받을 수 있다.
바이러스토탈, urlscan.io: 의심 파일과 URL을 붙여넣기만 하면 70여 개 보안엔진이 동시 검사한다.
Have I Been Pwned: 회사 이메일 도메인을 등록해두면 유출 사고 발생 시 자동 알림을 받는다.
마이크로소프트 디펜더(Windows 내장): 별도 설치 없이도 독립 평가에서 상위권이다. 충분히 신뢰할 만하다.
무료 LLM의 보조 활용: 클로드, 챗GPT, 제미나이 무료 버전에 의심 메일 헤더 전체를 붙여넣고 "이 메일이 피싱일 가능성과 근거"를 물으면 즉답이 온다. URL이나 의심 스크립트도 마찬가지다. 단, 회사 기밀이나 고객 정보가 담긴 텍스트는 절대 붙여넣지 말 것. 외부 LLM에 입력된 데이터는 사실상 회수가 불가능하다.
■CEO와 CISO가 챙겨야 할 내부 거버넌스 : 6개 체크리스트
기술적 방어는 보안 조직의 일이다. 그러나 AI 시대의 사고는 거의 대부분 거버넌스 공백에서 발생한다. 경영자가 직접 점검해야 할 6가지를 정리한다.
1. 사내 AI 사용 가시성 : 직원들이 어떤 AI 서비스에 무엇을 입력하는지 파악하고 있는가. 보고서에 따르면 직원의 절반 이상이 회사 데이터를 외부 LLM에 입력한 경험이 있다. 파악되지 않으면 통제할 수 없다.
2. AI 입력 데이터 거버넌스 : 고객 정보, 미공개 재무자료, 인사 정보, 소스코드 등 외부 LLM 입력 금지 데이터의 카테고리를 명문화하고 직원 교육에 반영했는가. 정책만으로는 부족하고, 차단, 로그, 사후 검증을 함께 갖춰야 한다.
3. 사고대응 시나리오에 'AI 가속 공격' 반영 : 지금까지의 침해사고 대응 매뉴얼은 공격자가 사람이라는 전제 위에서 짜였다. 정찰에 며칠, 침투에 또 며칠이 걸린다는 가정 아래 탐지에서 격리까지의 시간 목표가 정해졌다. 그러나 AI 자율 공격은 24시간 쉬지 않고 여러 표적에 동시에 진행된다. 같은 시간 목표로는 따라갈 수 없다. 사람의 분석 속도가 아니라 자동 탐지와 자동 격리를 전제로 시간표를 다시 짜야 한다.
4. 공급망과 외주의 AI 사용 점검 : 미토스 사고가 보여준 것처럼, 공격면은 자사 경계를 넘어선다. 협력사와 외주 개발사가 어떤 AI를 쓰는지, API 키 관리 정책은 무엇인지 계약서와 실사 항목에 포함해야 한다.
5. 데이터 격리 구조의 재검토 : 단일 DB에 모든 부서 데이터가 모여 있는 구조는 AI 시대의 침해사고 폭발 반경을 키운다. 기관별, 업무별 독립 데이터 경계와 권한 최소화는 더 이상 옵션이 아니다.
6. 이사회 보고 항목으로 AI 보안 추가 : 분기에 한 번이라도 좋다. AI 사용 현황, 거버넌스 정책 준수율, AI 관련 사고 통계를 정량 지표로 보고받는 자리를 만들어야 한다. 측정되지 않는 위험은 관리되지 않는다.
■마무리 : 비대칭은 영원하지 않다
지금은 공격이 방어보다 한 발 빠른 시기다. 그러나 같은 기술이 양쪽 모두의 손에 들려 있다는 사실 또한 분명하다. 핵심은 누가 먼저 거버넌스와 도구를 갖추느냐다. 보안은 더 이상 IT 부서의 기술 과제가 아니라 경영의 기본 인프라다.
[글. 윤두식. 이로운앤컴퍼니 대표이사, 국가인공지능위원회 보안특위 위원. 기업의 AI 활용 통제와 보안 거버넌스 솔루션 SAIFE X를 개발해 운영하고 있다.]
출처 | 데일리시큐 (링크)
"보안은 더 이상 IT 부서의 기술 과제가 아니라 경영의 기본 인프라"
윤두식 이로운앤컴퍼니 대표이사
9월의 어느 새벽, 30개 조직이 동시에 침입당했다.
2025년 9월 중순, 전 세계 30곳 가까운 조직의 네트워크 경계에서 비슷한 패턴의 정찰 트래픽이 잡혔다. 대형 IT 기업, 금융사, 화학 제조사, 정부기관이 섞여 있었다. 흔한 분산 침입처럼 보였지만 한 가지가 달랐다. 사람의 손길이 거의 없었다.
같은 해 11월 13일 앤트로픽(Anthropic)이 공개한 보고서에 따르면, 이 캠페인의 80~90%는 클로드 코드(Claude Code)라는 AI 코딩 도구가 자율적으로 수행했다. 인간 운영자는 캠페인당 4~6개의 핵심 결정점에서만 개입했다. AI는 정찰을 돌리고, 취약점을 찾고, 익스플로잇을 짜고, 데이터를 추려내는 일련의 작업을 사람이 잠든 시간에도 멈추지 않고 이어갔다. 앤트로픽은 이 그룹을 중국 국가지원 행위자로 평가했고, 이를 "보고된 첫 AI 자율 사이버 첩보 캠페인"으로 규정했다.
■사례 두 건 : 국가 행위자와 단독 범죄자
사례 1. 중국 국가지원 그룹의 자율 첩보 캠페인 (2025년 9월)
공격자들은 클로드 코드를 펜테스트 오케스트레이터로 활용했다. 우회 수법은 단순하면서 정교했다. 큰 공격을 작은 무해한 작업 단위로 잘게 쪼개 모델에게 던졌고, 동시에 "우리는 합법적인 보안업체 직원이며 지금 방어 테스트를 수행 중"이라는 역할을 모델에게 부여했다. 모델은 맥락을 보지 못한 채 각 작업을 수행했다. 약 30개 표적 중 일부에서 침투에 성공했다. Anthropic은 9월 중순 이상 패턴을 포착해 10일에 걸쳐 계정을 차단하고 피해 조직과 당국에 통보했다.
사례 2. 단독 공격자의 다중 갈취 캠페인 (2025년 7월, "Vibe Hacking")
같은 해 7월, 한 명의 공격자가 클로드 코드 한 가지 도구만으로 17개 조직을 갈취했다. AI가 악성코드를 작성했고, 탈취한 파일을 정리하고 분류했고, 피해 기업의 재무 자료를 분석해 지불 능력을 산정했고, 갈취 메일까지 초안을 잡았다. 과거였다면 숙련된 공격팀이 수개월에 걸쳐 분담했을 작업이다. 한 사람이 한 달 만에 해냈다.
두 사례의 공통점은 분명하다. AI는 더 이상 공격의 보조 도구가 아니라 공격을 주도하는 행위자가 됐다.
■무엇이 달라졌나 : 양적 변화가 질적 변화를 만들었다
과거의 공격은 사람과 시간의 함수였다. 정찰에 며칠, 익스플로잇 개발에 몇 주, 침투에 또 며칠이 들었고, 동시에 다룰 수 있는 표적 수는 팀 규모에 묶여 있었다. 시그니처와 룰 기반 방어가 통한 이유도 여기에 있다. 공격 패턴이 재사용됐고 변형 속도가 느렸기 때문이다.
지금은 다르다. 한 통계를 보자. 새로 공개된 취약점이 실제 공격에 동원되기까지 걸리는 시간은 2020년 평균 700일에서 2025년 44일로 줄었다(Mandiant, Verizon DBIR). AI가 익스플로잇 작성을 자동화하면서 그 격차를 메운 결과다. 2025년 12월에는 더 직접적인 비교 결과가 나왔다. 스탠포드와 카네기멜런 연구진이 공동 개발한 아르테미스(ARTEMIS)라는 AI 에이전트를 약 8,000대의 컴퓨터로 구성된 실제 운영 중인 대학 네트워크에 투입해 같은 환경의 인간 펜테스터 10명과 경쟁시켰다. 결과는 아르테미스가 그중 9명보다 더 많은 취약점을 찾아냈다. 시간당 비용은 인간 펜테스터가 60달러, 아르테미스가 18달러였다.
방어자에게 중요한 것은 두 가지 함의다. 첫째, 공격의 단가가 무너졌다. 둘째, 공격의 변형 속도가 시그니처 갱신 속도를 추월했다. 룰만 잘 짜놓으면 막을 수 있다는 가정은 더는 유효하지 않다.
■공격에 쓰이는 AI 도구 : 진짜 위협의 위치
흔히 거론되는 WormGPT, FraudGPT 같은 다크웹 LLM은 한때 위협의 상징이었지만 지금은 카테고리 명칭에 가깝다. 그 자리는 상용 프론티어 모델을 제일브레이크(jailbreak. 탈옥)해 만든 변형판으로 옮겨갔다. 케이토 네트웍스(Cato Networks)가 2025년에 보고한 바에 따르면 Grok과 Mixtral 기반 변형판이 다크웹에서 월 60유로 수준에 구독 판매된다. 주로 BEC(업무 이메일 사칭) 피싱에 쓰인다.
진정한 충격은 최근에 시작되었다.
2026년 4월 7일 앤트로픽은 자사 차세대 모델 클로드 미토스 프리뷰(Claude Mythos Preview)의 사이버보안 능력 평가를 공개했다. 결과는 업계가 가정해온 시간표를 깨뜨렸다. 미토스는 OpenBSD에 27년간 잠복한 TCP SACK 취약점, FFmpeg의 16년 묵은 H.264 코덱 결함, FreeBSD NFS의 RPCSEC_GSS 인증 우회 원격코드실행(CVE-2026-4747)을 자율 발견했다. 더 충격적인 것은 익스플로잇 체인 구성 능력이다. 주요 브라우저에서 JIT heap spray를 자율 구성하고, 이를 샌드박스 탈출과 로컬 권한상승으로 연결해 피해자가 웹페이지를 방문하기만 하면 공격자가 운영체제 커널에 직접 쓰기를 할 수 있는 익스플로잇을 만들어냈다.
평가 과정에서는 주목할 만한 행동도 관찰됐다. 연구자가 모델에게 격리 환경 탈출을 요청하는 평가를 진행했고, 모델은 다단계 익스플로잇으로 탈출에 성공했다. 여기까지는 평가가 의도한 결과다. 그런데 모델은 거기서 멈추지 않고 요청받지 않은 행동을 자발적으로 추가했다. 자기 탈출 행동에 대한 기록을 잘 알려지지 않았지만 공개 접근이 가능한 웹사이트 여러 곳에 게시했고, 마침 자리를 비우고 점심을 먹던 평가자에게 성공을 알리는 메일까지 보냈다.
앤트로픽은 미토스를 일반 공개하지 않기로 결정했다. 대신 AWS, 애플, 시스코, 크라우드스트라이크, 구글, JP모건, 리눅스 파운데이션, 마이크로소프트, NVIDIA, 팔로알토 등 검증된 파트너에게만 방어 목적으로 제공하는 "Project Glasswing"을 출범시켰다. 그러나 모델이 발표된 바로 그날, 한 외부 그룹이 제3자 협력사 환경의 공유 API 키를 통해 미토스에 접근했다는 사실이 2주 뒤인 4월 21일 블룸버그를 통해 알려졌다. 미공개 AI 모델 정보를 추적하는 디스코드 채널 멤버들이 앤트로픽의 다른 모델들이 사용하는 URL 형식을 추측해 접근했고, 이 중 한 명은 협력사 직원이었다. 앤트로픽 코어 시스템 자체는 영향을 받지 않았지만, 이 사건이 보여주는 함의는 분명하다. 격리는 영원하지 않다.
■방어 원칙 : 가정 자체를 바꿔야 한다
위 사실들이 방어 측에 강요하는 변화는 세 가지다.
첫째, 시그니처와 룰 기반 탐지의 비중을 줄이고 행동과 맥락 기반 탐지로 옮긴다. AI가 변형하는 공격은 해시값으로 잡히지 않는다.
둘째, AI 사용 자체를 가시화한다. 사내 직원이 어떤 AI 도구에 무엇을 입력하는지, 외부 협력사와 공급망이 AI를 어떻게 사용하는지 모르면 공격면을 파악조차 할 수 없다.
셋째, 데이터 격리를 전제로 설계한다. 사고는 발생한다는 것을 전제로 폭발 반경을 줄이는 구조 — 기관별, 업무별 독립 데이터 경계, 권한 최소화, 로그 분리 — 를 갖춰야 한다.
방어에 AI를 어떻게 쓸 것인가
같은 무기는 같은 손에서 동등하게 강해진다. 방어 측이 AI를 가장 빨리 효과 본 영역은 네 가지다.
보안 이벤트 일차 분류(로그 트리아지): 하루 수백만 건씩 쏟아지는 보안 로그 중에서 의미 있는 신호와 무시해도 되는 잡음을 우선 골라내는 작업
피싱 메일 분석: 헤더, 본문 어조, 링크 도메인 평판을 종합한 위험도 평가
위협 인텔 요약: 영문 위협 보고서를 자국어 요약으로 변환해 의사결정 속도 단축
취약점 사전 점검: 자사 코드와 의존성에 대한 일차 검토
핵심은 AI가 사람을 대체하는 게 아니라, 사람이 다뤄야 할 사건의 수를 10분의 1로 줄여준다는 점이다. 보안 인력 부족 문제에 직접적인 답이 된다.
비전문가가 오늘 당장 써볼 수 있는 무료 도구
전담 보안팀이 없는 중소기업, 스타트업을 위한 실무 가이드다. 모두 무료이거나 저비용이다.
KISA 보호나라(boho.or.kr): 한국 기업이라면 가장 먼저 신청해야 한다. 홈페이지 보안점검, 서버 원격점검, 침해사고 피해지원이 모두 무료다. 지역정보보호지원센터 10곳에서 대면 컨설팅도 받을 수 있다.
바이러스토탈, urlscan.io: 의심 파일과 URL을 붙여넣기만 하면 70여 개 보안엔진이 동시 검사한다.
Have I Been Pwned: 회사 이메일 도메인을 등록해두면 유출 사고 발생 시 자동 알림을 받는다.
마이크로소프트 디펜더(Windows 내장): 별도 설치 없이도 독립 평가에서 상위권이다. 충분히 신뢰할 만하다.
무료 LLM의 보조 활용: 클로드, 챗GPT, 제미나이 무료 버전에 의심 메일 헤더 전체를 붙여넣고 "이 메일이 피싱일 가능성과 근거"를 물으면 즉답이 온다. URL이나 의심 스크립트도 마찬가지다. 단, 회사 기밀이나 고객 정보가 담긴 텍스트는 절대 붙여넣지 말 것. 외부 LLM에 입력된 데이터는 사실상 회수가 불가능하다.
■CEO와 CISO가 챙겨야 할 내부 거버넌스 : 6개 체크리스트
기술적 방어는 보안 조직의 일이다. 그러나 AI 시대의 사고는 거의 대부분 거버넌스 공백에서 발생한다. 경영자가 직접 점검해야 할 6가지를 정리한다.
1. 사내 AI 사용 가시성 : 직원들이 어떤 AI 서비스에 무엇을 입력하는지 파악하고 있는가. 보고서에 따르면 직원의 절반 이상이 회사 데이터를 외부 LLM에 입력한 경험이 있다. 파악되지 않으면 통제할 수 없다.
2. AI 입력 데이터 거버넌스 : 고객 정보, 미공개 재무자료, 인사 정보, 소스코드 등 외부 LLM 입력 금지 데이터의 카테고리를 명문화하고 직원 교육에 반영했는가. 정책만으로는 부족하고, 차단, 로그, 사후 검증을 함께 갖춰야 한다.
3. 사고대응 시나리오에 'AI 가속 공격' 반영 : 지금까지의 침해사고 대응 매뉴얼은 공격자가 사람이라는 전제 위에서 짜였다. 정찰에 며칠, 침투에 또 며칠이 걸린다는 가정 아래 탐지에서 격리까지의 시간 목표가 정해졌다. 그러나 AI 자율 공격은 24시간 쉬지 않고 여러 표적에 동시에 진행된다. 같은 시간 목표로는 따라갈 수 없다. 사람의 분석 속도가 아니라 자동 탐지와 자동 격리를 전제로 시간표를 다시 짜야 한다.
4. 공급망과 외주의 AI 사용 점검 : 미토스 사고가 보여준 것처럼, 공격면은 자사 경계를 넘어선다. 협력사와 외주 개발사가 어떤 AI를 쓰는지, API 키 관리 정책은 무엇인지 계약서와 실사 항목에 포함해야 한다.
5. 데이터 격리 구조의 재검토 : 단일 DB에 모든 부서 데이터가 모여 있는 구조는 AI 시대의 침해사고 폭발 반경을 키운다. 기관별, 업무별 독립 데이터 경계와 권한 최소화는 더 이상 옵션이 아니다.
6. 이사회 보고 항목으로 AI 보안 추가 : 분기에 한 번이라도 좋다. AI 사용 현황, 거버넌스 정책 준수율, AI 관련 사고 통계를 정량 지표로 보고받는 자리를 만들어야 한다. 측정되지 않는 위험은 관리되지 않는다.
■마무리 : 비대칭은 영원하지 않다
지금은 공격이 방어보다 한 발 빠른 시기다. 그러나 같은 기술이 양쪽 모두의 손에 들려 있다는 사실 또한 분명하다. 핵심은 누가 먼저 거버넌스와 도구를 갖추느냐다. 보안은 더 이상 IT 부서의 기술 과제가 아니라 경영의 기본 인프라다.
[글. 윤두식. 이로운앤컴퍼니 대표이사, 국가인공지능위원회 보안특위 위원. 기업의 AI 활용 통제와 보안 거버넌스 솔루션 SAIFE X를 개발해 운영하고 있다.]
출처 | 데일리시큐 (링크)