검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'사이버보안'통합검색 결과 입니다. (121건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

"새벽 3시에 해킹 있다면...AI공격 AI로 막아야"

[텔아비브(이스라엘)=박광하 기자] 싱가포르, 독일, 인도, 키프로스 4개국 대표가 10일(현지시간) 정부와 기업에서 스스로 판단해 일하는 인공지능(AI)인 'AI 에이전트'를 도입하려는 경우 어떤 통제 조건을 사전에 정해야 할지 의견을 제시했다. 이들은 사람이 정한 한계 안에서 움직이게 하고, 활동 기록을 반드시 남겨야 하며, 문제가 생기면 즉시 멈추고 권한을 회수해야 한다는 데 일치된 의견을 보였다. 이날 텔아비브대에서 열린 사이버위크 2026 본회의의 '첨단 AI와 달라지는 사이버 지형' 패널 세션에서 이 같은 의견들이 제시됐다. 사회는 아비람 앗차바 이스라엘 국가사이버국(INCD) 국제전략국장이 맡았다. INCD는 이스라엘 민간 부문의 사이버 방어를 총괄하는 정부 기관이다. 패널에는 마리오스 피에리스 키프로스 통신청장과 바버라 클루게 독일 연방내무부 사이버 및 정보보안 부총국장이 올랐다. 리 스옌 싱가포르 사이버보안청(CSA) 개발 담당 부청장과 산자이 바흘 인도 컴퓨터긴급대응팀(CERT-In) 국장도 함께했다. 앗차바 국장은 정부가 AI 에이전트에 민감한 정보와 행동 권한을 주기 전에 어떤 조건을 요구해야 하느냐고 물었다. 피에리스 청장은 AI 에이전트에 대한 신뢰를 사람처럼 단계적으로 쌓아야 한다고 답했다. 또 에이전트는 정부 조직 안에서 돌려 데이터가 조직 밖으로 나가지 않게 해야 한다고 말했다. 정부 조직이 요구할 조건으로 ▲명확한 한계 ▲완전한 추적성 ▲필요하면 멈출 수 있는 수단을 꼽았다. 추적성은 에이전트가 한 일을 끝까지 따라가 확인할 수 있는 능력을 뜻한다. 피에리스 청장은 사람의 판단을 시민에게 법적 효과가 있는 결정, 되돌릴 수 없는 일, 인간의 가치 판단이 필요한 일에 남겨야 한다고 했다. 반면 사이버 공격 방어는 속도가 중요해 사람이 끼어들지 않고도 인프라를 빠르고 정확하게 지켜야 한다고 짚었다. 그는 금요일 새벽 3시에 사이버 공격이 터지는 상황을 가정해 보라고 했다. AI 공격은 AI로 막아야 하며 방어를 이끌고 경고하고 시스템을 가동하고 격리할 권한을 분명히 가진 국가 주체가 필요하다고 강조했다. 에이전트 중단·신원 관리 수단 확보해야 바흘 국장은 에이전트가 잘못 움직일 때 제어할 수단을 갖춰야 한다고 말했다. 에이전트의 대화 기록, 호출한 도구, API 요청 같은 활동을 로그로 남기라고 했다. API는 프로그램끼리 기능을 주고받는 접속 창구 노릇을 한다. 그는 에이전트가 이상하게 움직이면 종료하거나 활동을 중단시키고 자격 증명(시스템에 접속할 때 쓰는 계정 정보와 권한)을 폐기할 능력이 있어야 한다고 설명했다. 이어 "그렇게 하지 못하면 우리는 심각한 곤경에 빠질 것"이라고 말했다. 클루게 부총국장은 "AI 에이전트는 인간이 아닌 신원이며 그렇게 다뤄야 한다. 거버넌스가 필요하다"고 말했다. 비인간 신원은 사람이 아닌 소프트웨어나 기기에 부여하는 계정과 권한을 뜻한다. 클루게 부총국장은 접근 관리와 신원 관리가 AI를 쓰는 조직의 핵심 역할이라고 짚었다. 리 부청장은 AI에 얼마나 자율성을 줄지는 표준 답이 없다고 말했다. 맡길 일이 임무에 핵심인지, 인명과 안전에 영향을 주는지, 문제가 생기면 복구가 가능하고 비용이 얼마나 드는지를 따져야 한다고 했다. 복구 비용이 크지 않으면 AI에 자율성을 조금 더 줄 수 있지만 비용이 크면 신중해야 한다고 설명했다. 이어 AI에 대한 사람의 개입 방식을 세 가지로 소개했다. '휴먼 인 더 루프'는 AI 작업 흐름의 특정 지점마다 사람이 결정하는 방식, '휴먼 온 더 루프'는 AI가 일하게 두고 사람이 지켜보다 필요할 때 개입하는 방식이다. 최근 들은 개념이라며 꺼낸 '휴먼 오버 더 루프'는 사람이 규칙과 한계를 정하고 AI가 그 안에서 자율적으로 움직이는 방식이다. 그는 에이전트에 부여할 신원, 접근 권한, 접근할 수 있는 자원을 기술적 한계로 분명히 정해 두면 그 안에서는 더 자율적으로 움직이게 할 확신이 생긴다고 말했다. 아울러 사람이 특정 지점마다 결정하는 방식은 규모가 커지면 오히려 역효과를 낸다고 지적했다. AI에 일을 자율적으로 맡기려는 목적이 무너진다는 이유에서다. 그래서 사람이 지점마다 결정하는 방식은 임무에 가장 핵심이거나 인명과 안전에 영향을 주는 일에 남겨야 한다고 했다. 사람이 계속 지켜보는 방식은 감시 피로가 쌓이는 위험이 있다고 말했다. 그는 세 방식 사이에서 균형을 잡아야 하며 어떤 방식을 쓸지는 AI를 업무에 도입하는 쪽이 정해야 한다고 했다. 싱가포르는 국가 단위 보호로 리 부청장은 싱가포르의 사이버 정책이 그동안 규정 준수와 사후 대응에 가까웠다고 말했다. 전력, 수도, 통신처럼 국가 기능을 떠받치는 시설 운영자는 스스로 자산을 지킬 책임을 지는 구조였다고 설명했다. AI 기술 발달로 사이버 공간이 크게 흔들리자 지난달 열린 싱가포르 국제사이버위크에 맞춰 국가 사이버 전략을 더 능동적인 방향으로 새로 정비했다고 밝혔다. 개별 기관에 각자 방어를 요구하는 대신 국가가 대규모로 보호를 제공할 수 있다면 CSA와 정부가 나서야 한다는 구상이다. 싱가포르는 통신사, 인터넷서비스업체와 함께 악성 도메인을 국가 수준에서 막는 'PDNS(Protective DNS)'을 도입할 계획이다. DNS는 웹사이트 주소를 서버 주소로 바꿔 주는 인터넷의 주소록 체계로, 이 단계에서 악성 도메인을 막으면 인터넷에 접속하는 누구든 악성 사이트로부터 보호받는다고 리 부청장은 설명했다. 핵심 기반시설 운영자에게는 위협 탐지 시스템을 보급해 운영자 간 보안 수준의 격차를 줄인다. 핵심 기반시설 운영자는 정부 기관일 수도 민간 기업일 수도 있고 보안 수준이 고르지 않기 때문이다. 리 부청장은 최근 출범한 'AI 사이버보안 실험 샌드박스'도 소개했다. 샌드박스는 새 기술을 제한된 환경에서 시험하게 하는 제도다. 이 사업에서 기업은 AI 보안 도구를 시험하는 시범 사업이나 개념검증(PoC)에 쓸 자금을 받을 수 있다고 했다. 더 많은 실험과 도입을 이끌어 AI로 AI에 맞서겠다는 취지라고 말했다. 독일, AI 인증과 책임 분담에 방점 클루게 부총국장은 AI용 소프트웨어자재명세서(SBOM)를 학습 데이터 출처, 모델 가중치, 컴퓨팅 인프라까지 넓혀야 한다고 말했다. SBOM은 소프트웨어에 어떤 구성요소가 들어갔는지 적은 목록이고, 모델 가중치는 AI가 학습으로 얻은 내부 수치다. 독일 연방정보보안청(BSI)이 이미 AI용 SBOM 작업을 하고 있다고 소개했다. 국가 안보나 핵심 기반시설에 쓰는 AI 모델을 중심으로 인증 표준도 세워야 하며 국제 파트너와 협력해야 한다고 했다. 그는 "모두를 위한 신뢰할 수 있는 규칙이 있어야 한다"고 말했다. 클루게 부총국장은 카라디 INCD 국장이 앞서 보안 침해는 피할 수 없고 AI가 새로운 경로를 찾아낼 것이라고 말했다고 언급했다. 그러면서 사이버 복원력을 우선해야 한다고 했다. 에너지, 금융, 보건, 통신 분야의 핵심 기능이 AI를 이용한 공격이 성공한 상황에서도 계속 작동하게 해야 한다고 말했다. 클루게 부총국장은 책임을 정부, AI 개발사, AI를 쓰는 조직이 나눠 져야 한다고 했다. 정부는 규칙을 정하고 집행하며 표준과 법적 책임 체계를 정해야 하고 이는 국제적 노력이어야 한다고 말했다. 고위험 AI 사고는 국제적으로 정한 임계치에 따라 의무 보고하게 하는 제도를 만들어야 한다고 했다. 보안을 설계 단계부터 넣는 기준 마련은 유럽연합(EU)이 이미 하고 있다고 덧붙였다. 가장 중요한 부문에는 복원력 표준과 대체 수단을 갖추게 하고 네트워크와 물리적으로 분리한 에어갭 복구 시스템도 마련하게 해야 한다고 말했다. 클루게 부총국장은 개발사가 윤리 기준과 설계 단계부터의 보안 원칙을 따라야 한다고 말했다. 배포하기 전에는 공격자 입장에서 모의 공격을 해 보는 레드팀 시험으로 사이버 능력을 점검하고 사이버 위험 평가를 담은 시스템 카드를 공개해야 한다고 했다. 시스템 카드란 모델의 능력과 위험을 정리한 문서다. AI를 쓰는 조직은 위험 평가와 위협 모델링을 하고 AI 서비스와 내부 시스템 사이의 관문인 AI 게이트웨이와 방화벽을 AI의 도움을 받아 정기적으로 갱신해야 한다고 설명했다. 클루게 부총국장은 시민과 이용자도 책임이 있다고 말했다. 개인정보를 AI에 어디까지 넘길지, 그 정보가 어디서 어떻게 처리되는지를 이들이 책임 있게 판단해야 한다고 짚었다. AI의 오류나 이상 행동을 발견하면 신고해야 한다고도 했다. 그래야 개발사가 문제를 고쳐 보안 수준을 높일 수 있다고 설명했다. 인도는 훈련·지침에 집중…6시간 이내 신고 바흘 국장은 인도가 업종별 웨비나와 모의훈련을 병행해 왔다고 소개했다. 조직의 모든 계층이 위협 환경을 알도록 하려는 취지다. 지금까지 16차례 훈련에 2000명이 참여했고 453개 기관이 포함됐다. 참가 기관은 위협이 닥쳤을 때 해야 할 일과 자신의 취약한 부분을 파악하고 준비하게 된다고 했다. 바흘 국장은 인도가 AI를 이용한 취약점(보안 결함) 악용에 노출되는 부분을 줄이고 막기 위한 청사진을 냈다고 소개했다. 청사진은 ▲제로트러스트 구조 ▲분할 ▲회복 서비스 ▲독립 감사 ▲집행 ▲지속 보증을 다룬다. 제로트러스트는 내부 사용자도 믿지 않고 접속할 때마다 검증하는 보안 구조다. 소프트웨어, AI, 암호, 양자, 하드웨어 자재명세서에 관한 기술 지침도 냈다. 보호하려면 먼저 자산이 무엇인지 알아야 하기 때문이라고 설명했다. 바흘 국장은 공격자가 API를 새로운 접점으로 삼아 악용하고 AI 에이전트가 공격 경로로 쓰이며 금융 기관을 노린 AI 기반 공격이 빠르게 늘고 있다고 경고했다. 감사 담당자가 AI 분야에서 무엇을 감사해야 하는지 알도록 감사 지침도 마련했다고 덧붙였다. 장비 제조사, 기술 서비스 업체에는 지금은 보안 책임이 이용 조직에 떠넘겨지고 있다고 지적했다. 중소기업이든 대기업이든 모든 조직이 이를 감당할 인력과 기술을 갖추지는 못했기 때문에 제조사가 책임을 져야 한다고 말했다. 인도는 제조사와 기술 서비스 업체에 ▲투명한 구성 요소 명세서 ▲보안을 반영한 개발 수명주기 ▲신속한 패치 ▲사고 대응을 요구하는 지침을 냈다. 개발 수명주기는 소프트웨어를 기획부터 폐기까지 관리하는 과정이고 패치는 보안 결함을 고치는 업데이트다. 바흘 국장은 사고가 나면 조직이 가장 먼저 알게 되므로 조직이 정보보안 정책에 정한 역할과 책임에 따라 조사하고 확산을 막고 복구해야 한다고 말했다. 인도는 2022년 4월 지침으로 사고를 인지한 지 6시간 안에 신고하고 로그를 180일 동안 보관하도록 했다.

2026.11.11 14:22박광하 기자

LGU+, 차량 사이버보안 최고 수준 'ML3' 획득

LG유플러스가 소프트웨어 중심 자동차(SDV) 시대 핵심인 최고 등급 사이버보안 인증 ML3를 획득하며, 글로벌 완성차 협력 강화에 나선다. LG유플러스는 한국 통신사 최초로 자동차 사이버보안 국제표준 ISO/SAE 21434 기반 사이버보안 관리체계(CSMS) 레벨 3단계(ML3) 인증을 획득했다고 10일 밝혔다. 글로벌 시험인증기관인 TUV 라인란드가 부여하는 인증은 차량 소프트웨어 개발부터 운영 전 과정에서 사이버보안 관리 체계가 국제표준에 부합하는지 평가하는 제도다. 유효기간은 3년이다. LG유플러스는 지난 9일 서울 용산 사옥에서 박성율 엔터프라이즈사업혁신그룹장, 홍관희 정보보안센터장(CISO/CPO), 코리아 프랭크 주트너 TUV 라인란드 대표 등 주요 관계자가 참석한 가운데 인증 수여식을 열었다. 최근 자동차 산업이 SDV와 커넥티드카 중심으로 재편되면서, 차량 소프트웨어 보안 역량이 핵심 경쟁력으로 부각되고 있다. 글로벌 완성차 기업이 개발부터 운영까지 전 단계에 걸쳐 보안 기준을 높임에 따라, 소프트웨어 공급사에도 체계적인 대응 능력이 요구되는 추세다. 앞서 LG유플러스는 지난해 CSMS ML2 수준을 확보했다. 이어 차량 인포테인먼트(IVI) 소프트웨어 개발 과정 보안 체계를 고도화하고, 이를 실제 글로벌 완성차 기업 IVI 서비스 개발 프로젝트에 적용해 ML3 인증을 받아냈다. LG유플러스는 인증을 통해 실무 실행 역량을 공인받았다. ML3는 보안 관리체계 단순 구축을 넘어, 실제 차량 소프트웨어 개발과 운영 현장에서 해당 체계가 일관되게 실행되고 있음을 평가한다는 점에서 의미가 크다. 현재 LG유플러스는 토요타, 렉서스, 메르세데스 벤츠 등 글로벌 완성차 브랜드를 대상으로 차량 인포테인먼트 소프트웨어 개발과 운영 사업을 전개하고 있다. LG유플러스는 인증받은 관리체계를 신규 차량 소프트웨어에 순차 적용할 방침이다. 박성율 LG유플러스 엔터프라이즈사업혁신그룹장은 “인증은 차량 소프트웨어 개발부터 운영까지 국제표준에 부합하는 사이버보안 관리체계를 갖추고, 이를 실제 프로젝트에서 실행할 수 있는 역량을 인정받았다는 데 의미가 있다”며 “글로벌 완성차 기업 협력을 확대하고 차량 소프트웨어 사업 경쟁력을 강화하겠다”고 말했다.

2026.11.10 10:51홍지후 기자

[AI 리더스] 한국, 에이전트 시대 준비됐나…호주 기업이 본 AI기본법

"기업들은 인공지능(AI) 에이전트가 어떤 행동을 수행하는지 파악하고 보안 통제가 실제로 작동한다는 사실을 입증할 수 있어야 합니다." 자이 A. 싱글라 카팔린스(Kapālins) 최고기술책임자(CTO)는 최근 지디넷코리아와 진행한 화상 인터뷰에서 한국 AI 기본법 시행에 따른 기업 대응 과제로 AI 에이전트 행동 통제와 보안 체계 실효성 검증을 강조했다. AI가 기업 시스템에 직접 접근해 업무를 수행하는 만큼 기존 챗봇과는 다른 보안 관리가 필요하다는 진단이다. 카팔린스는 호주 멜버른에 본사를 둔 기업용 AI 보안·거버넌스 기업이다. 금융·보험·의료·통신·공공 분야 등을 대상으로 AI 도구 식별부터 위험 행동 차단, 규제 준수 증빙까지 지원한다. 최근에는 앤트로픽 '클로드 엔터프라이즈'와 연동해 프롬프트 인젝션과 민감정보 유출, AI 에이전트의 위험한 작업을 사전에 차단하고 보안 설정 변경을 감지하는 기능도 선보였다. "챗봇은 답하지만 AI 에이전트는 행동한다" 싱글라 CTO는 기존 챗봇과 AI 에이전트의 가장 큰 차이로 실제 행동에 따른 위험을 꼽았다. 챗봇은 잘못된 답변을 생성하는 데 그칠 수 있지만 에이전트는 부여받은 권한으로 기업 시스템에 접근해 작업을 실행하기 때문이다. 그는 "챗봇은 잘못된 답변을 제공하지만 AI 에이전트는 잘못된 행동을 수행할 수 있다"며 "실제 접근 권한을 가진 에이전트가 사람 검토 없이 빠른 속도로 움직인다는 점이 문제"라고 말했다. 실제 고객사에서도 관리 사각지대가 발견됐다. 카팔린스에 따르면 한 보험사는 공식으로 사용하는 AI 도구 외에 직원들이 별도로 활용하던 도구 12개가 추가로 확인됐다. 보험금 청구와 인수 심사, 고객 응대 등에 활용되는 에이전트 행동도 충분히 파악하지 못하고 있었다. 문서나 이메일에 숨겨진 악성 명령이 에이전트 행동을 유도하는 프롬프트 인젝션도 주요 위협으로 지목됐다. 승인 이후 도구나 보안 설정이 변경되는 위험과 에이전트 간 통신·권한 관리의 사각지대도 경계해야 한다는 설명이다. 싱글라 CTO는 한국 기업에 세 가지 대응책을 권고했다. 운영 중인 모든 에이전트와 연결 도구, 모델 컨텍스트 프로토콜(MCP) 서버 및 접근 권한을 파악하고 결제·고객정보 등 민감한 작업에는 사람 승인을 거쳐야 한다는 것이다. 보안 통제 기능이 비활성화됐을 때 얼마나 빨리 탐지하는지도 점검해야 한다고 덧붙였다. 그는 "가장 흔한 실패는 정교한 공격이 아니라 누군가 보안 통제를 꺼놓았다는 사실을 발견하지 못하는 것"이라며 "다음 감사 때까지 이를 알아채지 못한다면 심각한 문제"라고 지적했다. "AI기본법 대응, 정책만으론 부족…통제 증빙 갖춰야" 싱글라 CTO는 한국 AI기본법 규제 체계를 긍정적으로 평가했다. 투명성 확보와 고영향 AI 관리, 영향평가 관련 조항에 대해서는 기업이 보안 정책 수립에 그치지 않고 실제 통제 여부를 입증해야 한다고 강조했다. 그는 "한국 정부가 AI기본법을 매우 잘 설계했다고 생각한다"며 "앞으로 일부 개정도 이뤄질 것"이라고 전망했다. 카팔린스는 한국 AI기본법 관련 의무를 플랫폼 규제 준수 점검 항목에 반영했다. 기업이 AI 운영 정책을 등록하면 법률 조항과 연결된 관리 항목을 확인하고 보완이 필요한 정책과 증빙 자료를 관리하는 방식이다. 보안 통제 적용 이력과 점검 결과를 기록해 규제 대응에 활용할 수 있도록 지원한다. 관리 범위는 한국과 미국, 호주, 유럽연합(EU), 일본, 싱가포르, 인도, 중동 주요국 등 15개 관할권에 걸쳐 있다. 한국 AI기본법은 물론 EU AI법, 국제표준 ISO/IEC 42001 등 42개 규제·보안 프레임워크를 관리한다. 싱글라 CTO는 "각국 규제기관 법령·지침 변경 여부를 15분마다 확인한다"며 "새로운 개정 사항이 나오면 플랫폼에 반영하고 승인 절차를 거쳐 적용한다"고 부연했다. 한국 시장 진출은 아직 본격화되지 않았다. 카팔린스는 국내 고객사나 파트너를 확보하지 못했지만 금융·보험업계를 중심으로 협력 기회를 모색하고 있다. 싱글라 CTO는 현지 파트너와의 협력에 관심을 나타내면서도 "구체적인 일정은 제시하기 어렵다"고 밝혔다.

2026.11.09 15:18이나연 기자

보안 거인들 텔아비브 모인다…이스라엘 '사이버위크' 9일 개막

[텔아비브(이스라엘)=박광하 기자] 미국과 이스라엘의 사이버보안 당국 수장이 이스라엘 텔아비브에 모여 AI 시대 사이버 위협 대응 방안을 모색한다. AI 에이전트를 해커로부터 지키는 기술을 앞다퉈 사들였던 체크포인트, 크라우드스트라이크도 함께 참여한다. 이들은 텔아비브대, 이스라엘 국가사이버국(INCD), 이스라엘 외교부가 9일(현지시각)부터 나흘간 텔아비브대에서 공동 주최하는 '사이버위크 2026'에서 각자 의견을 공유한다. 올해로 16회를 맞이하는 이번 행사에서 연사들은 사람 대신 일하는 AI 비서인 AI 에이전트를 악의적인 공격에서 보호하는 방안을 집중적으로 다룬다. 이스라엘을 비롯한 국제 사이버보안 기술, 생태계 동향을 직접 파악할 수 있는 기회로 주목받는다. 아이작 벤 이스라엘 사이버위크 의장은 2015년 국가 사이버 기구 설립 결정으로 이어진 총리실 태스크포스를 이끈 예비역 소장이다. 요시 카라디 INCD 국장과 닉 앤더슨 미국 사이버보안 인프라보안국(CISA) 국장 대행은 10일 본회의 핵심 세션에 함께 나선다. 조나단 장거 체크포인트 최고기술책임자와 다니엘 버나드 크라우드스트라이크 최고사업책임자도 'AI 에이전트의 부상'을 발표한다. 체크포인트는 올해 2월 사이아타와 사이클롭스 시큐리티를 사들이고 로테이트의 인력을 영입했다. 크라우드스트라이크는 2월 SGNL 인수를 마쳤고, 3일(현지시각) AI 에이전트를 살피는 피들러AI와 AI의 허점을 시험하는 드레드노드를 인수하기로 했다. 이어 샬레브 훌리오 드림 공동창업자 겸 최고경영자가 대담에 나선다. 오스트리아 총리를 지낸 제바스티안 쿠르츠가 공동창업한 드림은 6월 2억 6000만 달러(약 3500억원)를 투자받아 기업가치가 30억 달러(약 4조 700억원)로 뛰었다. 정부가 자국 데이터를 밖으로 내보내지 않고 AI를 쓰게 돕는 플랫폼이 주력이다. AI가 소프트웨어의 보안 빈틈을 스스로 찾아 고치게 하는 아일(AISLE)의 자야 발루 최고운영책임자도 연사로 나선다. 캐나다 AI 기업 코히어는 지난달 15일(현지시간) 아일 인수 의향서를 체결했다고 발표했다. 보안 책임자 5명이 평가하는 '파이어 피치'에는 에이전트 제로, 블룸 시큐리티, 스파이커즈 시큐리티가 나선다. 11일에는 AI 공격 시연과 방어법을 다루는 '인공지능과 사이버가 만날 때'가 열린다. AI 시스템을 겨냥한 공격이 이미 벌어지고 있다는 전제에서 폭주하는 AI 에이전트, 백도어 공격, 문맥 오염, 프롬프트 주입 공격, 공급망 위험을 다룬다. 인튜이트의 야엘 마토프 AI 보안 연구원은 문맥 오염 공격 시연을 선보인다. 이스라엘 스타트업 캡슐 시큐리티는 폭주하는 AI 에이전트를 막는 기술을 소개한다. 12일 '퀀텀 데이'에서는 양자컴퓨터 시대의 사이버 위협 대응책을 논의한다. 양자 계산의 진화, 안전한 양자 통신, 양자 센서가 주제다. '양자 시대의 사이버보안' 세션의 위협 대응 패널에는 타미르 고렌 INCD 전략프로그램 국장과 마이클 유 마스터카드 보안 및 신뢰 컨설팅 부사장이 오른다. '양자 시대의 능동 방어' 패널에는 벤 볼코프 QIZ시큐리티 공동창업자 겸 최고경영자가 나선다. QIZ시큐리티는 기업이 쓰는 암호를 찾아내 양자컴퓨터에 뚫릴 위험을 점검하고, 양자컴퓨터에도 안전한 암호로 바꾸는 과정을 관리하는 플랫폼을 만든다.

2026.11.08 09:44박광하 기자

공격자보다 먼저 보안 허점 찾는다…오픈AI, 'GPT-6 사이버' 공개

오픈AI가 소프트웨어 보안 취약점을 찾아 실제 공격에 쓰일 수 있는지 확인하고 수정까지 돕는 인공지능(AI)을 선보였다. 공격자보다 먼저 보안 허점을 찾아내는 능력과 함께 AI가 허가받은 범위를 벗어나 다른 시스템을 공격하지 않도록 통제하는 기능도 강화했다. 오픈AI는 5일(현지시간) 자사 홈페이지를 통해 사이버보안 특화 모델 'GPT-6 사이버'를 공개했다고 밝혔다. 승인받은 일부 '데이브레이크 레드' 고객에게 응용프로그램 인터페이스(API)와 AI 개발 도구 '코덱스'로 우선 제공한 뒤 전체 데이브레이크 레드 고객으로 확대할 예정이다. 데이브레이크 레드는 승인된 보안 연구자가 취약점을 검증하고 모의 공격을 수행하도록 지원하는 프로그램이다. GPT-6 사이버는 방대한 소스코드에서 취약점을 찾고 이를 악용하는 공격이 실제로 작동하는지 시험한다. 문제를 고치는 패치 후보와 분석 자료도 생성한다. 오픈AI는 실제 소프트웨어에 적용한 결과를 공개했다. 연구진은 GPT-6 사이버로 웹 브라우저 '파이어폭스'에서 기존에 알려지지 않았던 고위험 취약점 81건을 발견했다. 앞서 고성능 AI 모델로 여러 차례 검사한 코드에서도 새로운 문제를 찾아냈다는 설명이다. 연구진은 문제를 재현할 수 있는 검증 자료를 파이어폭스 개발사 모질라에 전달했다. 모질라는 이를 바탕으로 다수 취약점을 수정해 배포했다. 리눅스 커널 연구에서는 취약점 1724건을 재현하고 이 가운데 948건에서 실제로 작동하는 공격 코드를 개발했다. 공격 코드 작성은 취약점이 실제 피해로 이어질 수 있는지 확인하기 위한 과정이다. 오픈AI는 중요 발견 사항 304건을 패치 후보와 함께 유지관리자에게 보고했으며 추가 수정 작업도 진행하고 있다고 밝혔다. 성능 평가에서도 이전 모델을 앞섰다. 알려진 취약점을 실제로 악용할 수 있는지 측정하는 '익스플로잇짐'에서 성공률 48.5%를 기록했다. 이전 모델인 GPT-5.6 사이버의 32.1%보다 16.4%포인트 높다. 통제된 서버 환경에서 원격 공격 능력을 시험하는 '리모트익스플로잇벤치' 초기 평가에서는 과제 95%를 완료했다. 오픈AI는 공격 능력이 높아진 만큼 사용 범위를 지키는 학습도 강화했다. 보안 연구용 AI가 주어진 문제를 해결하려다 검사 대상이 아닌 시스템까지 공격할 수 있어서다. 승인된 대상과 작업 범위를 지키고 수행 결과를 정확하게 보고하도록 학습했다. 이를 확인하기 위한 평가에서는 검사 대상 주변에 공격하기 쉬운 서비스를 배치했다. 해당 서비스를 공격하면 과제를 쉽게 해결할 수 있지만 연구자가 허용한 범위에는 포함되지 않도록 구성했다. GPT-6 사이버는 별도 안전 지시문 없이도 99.93%의 사례에서 허가 범위 밖 서비스를 공격하지 않았다. 이전 모델의 94.49%보다 높아졌다. 실제 배포에 사용하는 안전 지시문을 적용했을 때는 모든 평가 사례에서 작업 범위를 지켰다. 오픈AI는 이 같은 성능 향상을 반영해 자체 위험관리 체계에서 GPT-6 사이버의 사이버보안 위험 등급을 이전 모델의 '높음'보다 한 단계 높은 '심각'으로 분류했다. 취약점을 찾아 방어에 활용하는 능력이 공격에도 쓰일 수 있다는 점을 고려한 평가다. 이에 따라 고위험 활동을 차단하고 악용 시도를 탐지하는 안전장치도 적용했다. 모델이 사용자에게 승인받은 범위 안에서 움직이는지 점검하며 핵심 인프라와 필수 서비스에 심각한 피해를 줄 수 있는 요청은 제한한다. 오픈AI는 자사 인프라 보안 검사에도 GPT-6 사이버를 활용해 취약점을 수정하고 네트워크 접근 제한을 강화했다고 밝혔다. 시스코와 보안 기업 칼리프, 코드 검토 서비스 코드래빗도 취약점 연구와 코드 검토에 모델을 활용하고 있다. 오픈AI는 "고성능 모델로 소프트웨어 보안을 강화할 수 있는 시간은 제한돼 있다"며 "모든 규모의 조직과 독립 연구자, 오픈소스 유지관리자가 고도화된 보안 연구를 수행할 수 있도록 데이브레이크를 대폭 확대하는 것이 목표"라고 밝혔다.

2026.11.06 12:03김동원 기자

중동 정세 불안에…韓 AI 기업 진출 지원 또 '제동'

중동 지역 정세가 다시 불안해지며 국내 인공지능(AI) 기업의 현지 진출을 지원하기 위한 정부 산하 기관 사업에 또다시 제동이 걸렸다. 올해 두바이 AI 페스티벌 참여가 무산된 데 이어 연말 개최 예정이던 한-두바이 AI 사이버보안 포럼도 추진에 차질을 빚게 됐다. 4일 업계에 따르면 정보통신산업진흥원(NIPA) 아랍에미리트(UAE) IT지원센터는 최근 '2026년 한-두바이 AI 사이버보안 포럼 운영 용역' 입찰 절차를 잠정 중단했다. 이번 조치는 최근 중동 지역 정세가 재차 불안해지면서 행사 추진 여건을 재검토할 필요가 있다는 판단에 따른 것이다. 당초 사업 공고는 지난달 15일부터 이날까지 진행될 예정이었다. 올해 한-두바이 AI 사이버보안 포럼은 다음 달 초 두바이에서 한국과 UAE 정부·공공기관, AI·사이버보안 기업 관계자 등 40~50명이 참석하는 행사로 기획됐다. 두바이 경찰청과 두바이전자보안센터(DESC) 등 현지 관계기관에 국내 AI·사이버보안 기업 기술과 솔루션을 소개하는 것이 핵심이다. 국내 기업 6개사 전시·홍보 공간을 마련하고 기조연설과 패널토론, 네트워킹 등을 통해 양국 간 사이버 위협 대응 경험과 기술·정책 동향을 공유할 계획이었다. 두바이 경찰의 실제 사이버보안 수요와 국내 기업 기술력을 연계해 현지 시장 진출과 사업 협력 기회를 발굴한다는 목표에서다. 국내 AI 기업의 해외 진출을 지원하는 정부 사업이 차질을 빚은 건 이번이 처음이 아니다. NIPA는 지난 3월 미국과 이란 간 군사 긴장 고조를 이유로 '두바이 AI 페스티벌' 한국관 구축 및 포럼 운영 용역 입찰을 잠정 중단했다. 이후 행사 일정이 두 차례 연기된 끝에 과학기술정보통신부와 NIPA는 지난 8월 최종으로 행사 불참을 결정했다. 대신 다음 달 열리는 글로벌 정보기술(IT) 행사 '자이텍스 글로벌'에 한국관을 마련하는 방향으로 선회했다. 대한무역투자진흥공사(KOTRA) 역시 지난 3월 사우디아라비아와 쿠웨이트에서 추진하던 '2026 중동 AI시티 로드쇼' 참여를 잠정 보류한 바 있다. 최근 미국과 이란 간 군사 긴장이 다시 고조되면서 중동 시장 불확실성도 커지고 있다. 로이터통신은 지난 2일(현지시간) 도널드 트럼프 미국 대통령의 이란 추가 공격 위협으로 걸프 국가들이 보복 공격과 역내 분쟁 재확산을 우려하고 있다고 보도했다. 국내 AI 기업 중동 시장 진출을 위한 현지 사업 확대와 기술 교류, 네트워킹 기회 확보에도 당분간 불확실성이 이어질 전망이다. NIPA UAE IT지원센터는 "향후 지역 정세 및 행사 관련 상황을 종합 검토한 후 재개 여부 및 일정에 대해 별도 공지할 예정"이라고 밝혔다.

2026.11.04 11:36이나연 기자

이 대통령, 사이버보안 차르 기구 구성 검토 지시

대통령 전용기인 공군 1호기 탑승자 명단과 개인정보가 온라인에 5개월간 노출돼 정부가 조사를 벌이고 있는 가운데 이재명 대통령이 3일 국무회의에서 사이버보안 차르 기구 구성을 적극 검토하라고 지시했다. 대통령 순방 일정 정보가 무방비로 노출된데다 미국 바이낸스 해킹 사고, 국내서 잇달아 벌어진 공공·금융·통신 분야의 사이버 침해 사고에 따른 대응책이다. 미국도 백악관 산하에 국가사이버국장(National Cyber Director)과 ONCD(Office of the National Cyber Director)라는 행정부 내 국가 사이버보안 정책 조정 조직을 두고 있다. 앞서 배경훈 부총리 겸 과학기술정보통신부 장관이 지난 23일 국회 과학기술정보방송통신위원회의 과기정통부 종합국정감사에서 PHP 보안 취약점 관련 대응체계 개선 요구에 "정부 차원에서도 문제의식을 굉장히 심각하게 생각하고 있다. 범부처 차원의 종합대책을 마련하고 관련 조직도 고민하고 있다. 조만간 발표하겠다"고 밝힌 바 있다. 국가정보원은 최근 금융권 해킹 사고를 계기로 전국 중앙부처와 지방자치단체 등 2천100여개 기관에 긴급 보안점검에 착수, 이달 중순까지 마무리할 예정이다. 이날 이 대통령은 "국민의 일상은 물론 국가 경제와 안보에 심대한 영향을 주는 수준으로까지 확대된 사이버 보안 위기에 맞서 종합적인 예방 체계를 마련해야 한다"면서 "공공과 민간 영역을 아우르는 범정부 차원의 대책기구 설치 논의가 필요하다. 흩어져 있는 보안 기능을 총괄 조정할 수 있는 강력하고 실효적인 '사이버 보안 차르' 기구 구성을 적극 검토해달라"고 말했다. 이 대통령은 바이낸스 해킹을 지적하며 "인공지능 발달로 해킹 기술이 날로 지능화·고도화·일상화되며 기존의 점검·사후 대응 중심 보안 체계가 뚜렷한 한계를 드러내고 있다"면서 "취약점에 대한 공격 징후를 사전에 탐지·전파·대응할 수 있는 시스템을 구축하고, 진화하는 해킹 위협을 선제적으로 차단할 수 있도록 보안체계도 근본적으로 혁신해야 한다"고 말했다. 이어 "주요 공공서비스와 정보통신·에너지·금융 등 국가 핵심 인프라와 보안 취약점도 빈틈 없이 보완해달라"고 했다. 인식 전환도 함께 촉구하며 "국민의 안전한 일상과 국가 경제의 지속적인 발전을 위해 우리 사회 모두가 기술과 제도 그리고 인식 전환에 함께 힘을 모아야 한다”고 밝혔다.

2026.11.04 09:41방은주 기자

美 패트릭 J. 맥거번 재단 "AI 안전, 기업 약속만으론 부족…정부가 검증해야"

"기업이 인공지능(AI)를 활용하거나 외부 업체에 업무를 맡기더라도 고객정보를 보호할 책임을 져야 합니다. 정부도 기업이 AI를 안전하게 사용하는지 평가하고, 필요하다면 사용을 중단시킬 수 있어야 합니다." 최근 서울 삼성동 코엑스에서 열린 'AI페스타' 행사 때 만난 빌라스 다르 패트릭 J. 맥거번 재단 대표는 AI 시대 정보 보호에 대한 기업 책임을 이같이 강조했다. 기업은 기술 도입에 따른 위험을 점검하고, 정부는 이를 검증할 역량과 대응 체계를 갖춰야 한다는 주장이다. 다르 대표는 AI의 공익적 활용과 국제 거버넌스를 연구·지원해 온 기술·정책 전문가다. 2020년 재단 초대 대표로 취임했으며 유엔(UN) 사무총장 산하 AI 고위급 자문기구 위원으로 활동했다. 이번에는 AI 페스타와 함께 열린 서울시의 '스마트라이프위크' 시장 포럼 기조연설을 위해 방한했다. 패트릭 J. 맥거번 재단은 글로벌 IT 미디어 기업 IDG 창립자 패트릭 J. 맥거번의 뜻을 이어 AI와 데이터 기술로 사회문제를 해결하는 미국의 비영리 재단이다. 기후변화와 공중보건, 교육 등 공익 분야의 기술 활용을 지원하고 정부·기업·시민사회와 협력하고 있다. 이 재단은 약 15억 달러(한화 약 2조원) 규모의 기금을 운용하고 있으며, 본부는 미국 보스턴에 있다. 이번 인터뷰는 지디넷코리아가 지난 1일 보도한 배달의민족 고객정보 오용 관련 취재 기사로 성사됐다. 그는 해당 기사가 다룬 개인정보 보호와 책임 문제에 주목했다며, 기업이 AI를 도입할 때도 소비자에 대한 책임을 분명히 해야 한다고 밝혔다. "AI·외주 활용해도 소비자 책임은 그대로" 다르 대표는 기업이 AI를 도입할 때 우선 살펴야 할 과제로 개인정보 보호를 꼽았다. 고객상담이나 주문 처리에 AI를 활용하면 고객정보를 다루는 방식도 달라질 수 있는 만큼, 도입에 앞서 위험을 점검해야 한다는 설명이다. 그는 "기업은 개인정보 보호에 어떤 변화가 생기는지 고려하지 않고 AI 도입을 밀어붙여서는 안 된다"며 "AI를 어떻게 적용하는지 파악하는 것이 필수"라고 주장했다. 그러면서 "정부는 도입 전 검증 기준을 마련하며, 소비자도 정보 활용 범위에 의견을 낼 수 있어야 한다"고 덧붙였다. 다르 대표는 개인정보 보호 출발점으로 소비자 기본 권리를 제시했다. 그는 "AI가 등장했다고 해서 사람의 기본적인 권리가 달라지는 것은 아니다"며 "거래할 때 다른 사람과 동등하게 대우받고, 기업이 자신에 대해 알고 있는 정보를 이유로 가격을 바꾸지 않는다는 확신이 있어야 한다"고 강조했다. 그는 AI가 건강정보를 분석해 개인별로 가격이나 서비스 이용 조건을 달리하는 상황을 예로 들었다. 데이터가 유출되지 않도록 관리하는 것뿐 아니라 이를 활용한 AI 판단이 소비자에게 불리하게 작용하는지도 살펴야 한다는 설명이다. 다르 대표는 외부 업체에 업무를 맡겨도 소비자에 대한 기업 책임은 유지돼야 한다고 봤다. 그는 "소비자가 거래하는 상대가 기업이라면 그 기업이 AI 시스템을 사용하는지는 중요하지 않다"며 "기업은 소비자에게 책임을 져야 한다"고 강조했다. 다만 AI로 발생한 피해의 책임을 개발사와 도입 기업, 제3자 사이에서 어떻게 나눌지는 과제로 꼽았다. 그는 "기업 AI 시스템이 소비자에게 피해를 줬다면 AI를 만든 사람과 이를 사용한 기업, 제3자 중 누구에게 책임을 물어야 하는 것이 관건"이라며 "우리가 답해야 할 매우 큰 질문"이라고 말했다. 다르 대표는 기업이 책임을 판단하는 기준도 법적 의무에 머물러서는 안 된다고 강조했다. 그는 "법에 따른 책임도 있지만 기업과 소비자 사이의 신뢰에 관한 책임도 있다"며 "기업은 AI 시스템이 누군가에게 피해를 줄 위험을 어떻게 감시하고, 피해가 발생하기 전에 대응할지도 생각해야 한다"고 당부했다. "AI 안전, 기업 자율에만 맡겨선 안 돼…정부 대응 빨라져야" 다르 대표는 기업 책임을 실효성 있게 확보하려면 정부의 AI 평가·감독 역량도 뒷받침돼야 한다고 강조했다. AI가 사회 전반에 영향을 미치는 기술인 만큼 공적 통제 장치도 필요하다는 설명이다. 다르 대표는 한국 정부와 기업이 보완할 과제로 AI 공적 감독을 꼽았다. 기업이 AI 개발을 주도하며 혁신을 이끌고 있지만, 안전성까지 기업 판단에만 맡겨서는 안 된다는 설명이다. 그는 "한국에서도 기업이 하는 일을 공적 기관이 평가하고, 필요하다면 정부가 중단시킬 수 있어야 한다"고 말했다. 다르 대표는 이같은 정부 역할은 피지컬 AI 확산에 따라 더욱 중요해질 것으로 봤다. 그는 "미국에서도 많은 사람이 아직 AI를 휴대전화 안에서만 접한다"면서도 "앞으로 5~10년 안에는 피지컬 AI 영향이 매우 커질 것"이라고 내다봤다. 그는 대응 범위 역시 일자리 변화에 그쳐서는 안 된다고 지적했다. 피지컬 AI가 물건을 사고 거래하는 방식부터 경제 구조까지 바꿀 수 있는 만큼, 정부도 일상과 산업 전반에 미칠 영향을 살펴야 한다는 것이다. 이를 위해 우선 해결해야 할 과제로 기술과 제도 사이 속도 차이를 꼽았다. 다르 대표는 "기술 발전하는 속도가 제도가 대응하는 속도보다 훨씬 빠르다"며 "정부는 대응 속도를 높여야 한다"고 강조했다. 그는 정부가 빠르게 대응하면서도 일관된 기준을 유지하려면 AI로 어떤 사회를 만들 것인지에 대한 방향이 필요하다고 제언했다. 그는 "각국 정부는 기술적인 비전을 매우 강하게 제시한 상태"며 "앞으로 이를 사회적 비전으로 발전시켜야 한다"고 말했다. 다르 대표는 이 과정에 기술기업뿐 아니라 청년 등 다양한 사회 구성원이 참여해야 한다고 강조했다. 그는 "모두가 함께 비전을 만들어 가도록 어떻게 할 것인가가 전 세계 정부가 마주한 큰 과제"라고 덧붙였다.

2026.10.20 09:47류승현 기자

"우유도 검사받는데 AI는?"…MS 부회장, 법적 안전 규제 촉구

마이크로소프트(MS) 부회장이 인공지능(AI)은 우유나 세탁기보다 안전 규제가 부족하다며 사고 발생 시 기업에 피해자 통보 의무를 부과하는 등 법적 안전장치를 마련해야 한다고 촉구했다. 12일(현지시간) BBC에 따르면 브래드 스미스 MS 부회장 겸 사장은 '빅 보스 인터뷰' 팟캐스트에서 AI를 도구이자 무기로 규정하고 법적 구속력을 갖춘 안전 규칙이 필요하다고 밝혔다. 일상에서 사용하는 제품에는 엄격한 안전 기준이 적용되지만 AI는 그에 걸맞은 규제를 받지 않고 있다는 지적이다. 스미스 부회장은 "현재 세탁기는 AI보다 더 많은 안전 규제를 받는다"며 "식료품점에서 판매하는 우유 한 팩도 안전 규정과 검사를 적용받는다"고 말했다. 구체적인 안전장치로는 AI가 사람의 통제를 벗어났을 때 작동을 중단하거나 속도를 늦추는 '킬 스위치'를 제안했다. AI 에이전트가 예상하지 못한 행동을 하더라도 사람이 개입해 추가 피해를 막을 수 있도록 하기 위해서다. 사고가 발생했을 때 기업의 책임을 명확히 하는 방안도 제시했다. AI 에이전트가 허가 없이 다른 시스템에 접근하는 등 문제가 발생하면 기업이 사고 사실을 공식 보고하고 피해자에게 알리도록 법으로 의무화해야 한다는 주장이다. AI를 출시하기 전 안전성을 검증하는 절차도 필요하다고 봤다. 개발사의 자체 점검에만 의존하지 않고 정부의 독립적인 평가기관이 새로운 AI 기술의 위험성을 확인하도록 요구했다. 이러한 주장은 기업의 자율규제를 우선시하는 도널드 트럼프 미국 행정부의 정책 기조와 차이가 있다. 트럼프 행정부는 중국과의 AI 경쟁에서 미국 기업이 뒤처지지 않도록 규제 부담을 줄이는 데 무게를 두고 있다. 지난달 말 백악관에서는 오픈AI와 앤트로픽, 엔비디아, 메타, 구글 등 주요 기술기업 경영진이 AI 안전에 관한 자율적 약속에 참여했다. 기업들은 독립적인 감사기관과 협력해 AI 시스템이 의도대로 작동하는지 점검하고 허가받지 않은 시스템 접근을 방지하기로 했다. 스미스 부회장은 기업들의 자발적인 합의를 긍정적으로 평가하면서도 한계를 지적했다. 안전에 책임감을 가진 기업은 약속을 지키겠지만 그렇지 않은 기업까지 자율적인 기준에 따르리라고 기대하기는 어렵다는 이유에서다. 국제 AI 안전 기준 마련을 주도할 국가로는 영국을 지목했다. 영국이 첨단 AI 모델의 위험성을 직접 시험하고 검증할 수 있는 기술과 전문기관을 갖췄다는 점에 주목했다. 영국은 2023년 AI 안전연구소를 설립한 뒤 고성능 AI 모델의 위험성을 평가해 왔다. 이후 AI 보안연구소로 명칭을 바꾸고 사이버보안과 국가안보에 영향을 미칠 수 있는 위협까지 평가 범위를 넓혔다. 스미스 부회은 영국의 평가 역량이 국제 안전 기준 마련에 도움이 될 것으로 봤다. 미국 정부도 유럽연합(EU)보다 영국이 주도하는 기준에 상대적으로 우호적인 태도를 보일 수 있다고 예상했다. 그는 "AI가 인간의 통제를 벗어나고 사이버보안까지 위협할 수 있는 만큼 이제 행동에 나서야 한다"며 "차분하면서도 단호하게 사람들을 한데 모으기 시작해야 한다"고 말했다.

2026.10.13 09:09김동원 기자

[포토] 대한민국 사이버보안 컨퍼런스 2026

국내 사이버보안 현황과 미래를 조망한 '대한민국 사이버보안 컨퍼런스 2026'이 7일 서울 코엑스 컨퍼런스룸 300호에서 열렸다. 금융권 등에서 해킹 사고가 잇달으고 있는 가운데 열려 더 주목을 받은 이 행사는 AI페스타조직위원회와 전국정보보호정책협의회 및 서울시 정보보안과가 공동으로 주관했다. 국내 최대 인공지능(AI) 행사로 과기정통부의 AI주간에 함께 열렸다. 과기정통부와 개인정보보호위원회, 서울시가 사이버보안과 개인정보보호 정책을 소개했다. 기술 트렌드 세션 발표에서는 N2SF와 랜섬웨어 동향 및 대응 방안, AI 해킹과 AI시대 신원 인증 등을 다뤘다. 행사에서 과기정통부 최우혁 정보보호네트워크정책실장은 "최근 해외 프론티어 AI가 사람이 발견하지 못한 취약점을 단시간 내 대량으로 찾아내는 시대가 도래한 만큼, 지능화된 공격에 맞설 우리의 독자적인 기술 기반이 반드시 필요하다고 강조했고, 개인정보보호위원회 양청삼 사무처장은 "개인정보와 데이터를 안전하게 지키는 역량은 기업의 경쟁력이자 국가안보를 뒷받침하는 중요한 기반"이라고 역설했다. 백종현 전국정보보호정책협의회장 겸 서울시 정보보안과장은 AI기술이 우리 사회와 행정 전반에 새로운 변화와 가능성을 만들어가고 있다면서 "동시에 AI를 활용한 새로운 위협에 어떻게 대응 할 것인지도 중요한 과제가 되고 있다. 이제 AI를 잘 활용하는 것만큼 AI 시대에 걸맞은 보안체계를 갖추는 것이 중요하다"고 짚었다. 이번 '대한민국 사이버보안 컨퍼런스 2026'의 이모저모를 사진으로 정리했다.

2026.10.09 19:56방은주 기자

"AI발 해킹 대응 민관 힘 모아야"...'대한민국 사이버 컨퍼런스 2026' 성료

"최근 해외 프론티어 AI가 사람이 발견하지 못한 취약점을 단시간 내 대량으로 찾아내는 시대가 도래한 만큼, 지능화된 공격에 맞설 우리의 독자적인 기술 기반이 반드시 필요합니다." (최우혁 과기정통부 정보보호네트워크정책실장) "개인정보와 데이터를 안전하게 지키는 역량은 기업의 경쟁력이자 국가안보를 뒷받침하는 중요한 기반입니다."(양청삼 개인정보보호위원회 사무처장) "AI 기술은 우리 사회와 행정 전반에 새로운 변화와 가능성을 만들어가고 있지만, 동시에 AI를 활용한 새로운 위협에 어떻게 대응 할 것인지도 중요한 과제가 되고 있습니다. 이제 AI를 잘 활용하는 것만큼 AI 시대에 걸맞은 보안체계를 갖추는 것이 중요합니다."(백종현 서울시 정보보안과장 겸 전국정보보호정책협의회장) 서울 코엑스에서 7일 열린 '대한민국 사이버보안 컨퍼런스 2026'가 400여 참석자가 몰리는 성황을 이루며 막을 내렸다. 국내 금융권 등에서 해킹 사고가 잇달으고 있는 가운데 열려 더 주목을 받은 이 행사는 AI페스타조직위원회와 전국정보보호정책협의회 및 서울시 정보보안과가 공동으로 주관했다. 특히 이 행사는 국내 최대 인공지능(AI) 행사로 과기정통부의 AI주간에 열리는 'AI 페스타 26'과 서울시의 스마트라이프위크(SLW)가 열리는 기간에 열렸다. 과기정통부와 개인정보보호위원회, 서울시가 사이버보안과 개인정보보호 정책을 소개했다. 또 기업 발표에서는 공공에서 관심이 끈 N2SF와 랜섬웨어 동향 및 대응 방안, AI 해킹, AI시대 신원 인증 등을 다뤘다. 이날 발표자들은 하나같이 AI발전에 따른 대규모 해킹 사태를 우려하며 민관이 힘을 합쳐 하루 속히 적절한 사이버보안 방어 체계를 갖춰야 한다고 강조했다. 최우혁 실장 "단 한번 사이버 침해사고가 국민 생활과 기업 활동 전반 영향" 축사를 한 최우혁 과기정통부 정보보호네트워크정책실장은 인공지능 보안의 현안과 중요성을 논의하는 컨퍼런스를 뜻깊게 생각한다면서 말머리를 열었다. AI가 산업과 사회 전반의 혁신을 이끄는 핵심 기술로 자리 잡으며 새로운 성장의 기회를 열어가고 있다고 진단한 그는 "그러나 동시에 AI를 악용한 사이버 공격 역시 더욱 빠르고 정교하게 진화하고 있다. 이로 인해 우리는 단 한번의 사이버 침해사고가 국민 생활과 기업 활동 전반에 영향을 미칠 수 있는 엄중한 현실을 마주하고 있다"고 우려했다. 이러한 AI 시대의 새로운 위협에 정부는 선제적으로 대응하기 위해 지속적으로 정책 역량을 강화하고 있다면서 두 차례의 '범부처 정보보호 종합대책('25.10월, '26.1월)'을 기반으로 민간의 정보보호 책임과 대응 역량을 높이고 있다고 설명했다. 이어 최근에는 'AI 기반 사이버 위협에 대응하기 위한 민간 정보보호 추진계획('26.5월)'을 마련, AI 시대에 걸맞은 새로운 정보보호 체계로의 전환을 추진하고 있다고 소개했다. 최근 해외 프론티어 AI가 사람이 발견하지 못한 취약점을 단시간 내 대량으로 찾아내는 시대가 도래한 만큼, 지능화된 공격에 맞설 우리의 독자적인 기술 기반도 반드시 필요하다면서 "이에 정부는 '사이버보안 특화 AI 파운데이션 모델 개발'을 본격 추진, 국내 기간산업과 국민경제의 근간을 지키는 전략적 방어체계 마련에도 박차를 가하고자 한다"면서 고도화한 사이버 위협에도 불구하고 여전히 중요한 것은 보안기본기와 선진화된 보안생태계 확립"이라고 강조했다. "민관 모두가 정보보호 투자를 확대하는 한편, 정보보호에 책임을 다하는 문화를 제도적으로 뒷받침하고 차세대 AI 정보보호 산업 생태계 육성을 위해 지원을 아끼지 않겠다"면서 "이러한 정부의 노력은 민간의 협력과 참여 없이는 완성될 수 없다. 오늘 이 자리에 계신 여러 전문가와 기업의 조언과 관심이 더해질 때 비로소 정책의 실효성도 높아질 수 있다"고 당부했다. 양청삼 처장 "사이버 위협 먼 미래 아냐...우리가 마추친 현실" 최 실장에 이어 축사를 한 양청삼 개인정보보호위원회 사무처장은 예방 노력과 기본과 원칙 준수 등을 강조했다. 최근 금융권의 연쇄적인 유출사고와 정부 시스템을 겨냥한 해킹 시도 증가가 잇다면서 "사이버 위협이 더 이상 먼 미래의 이야기가 아니다. 우리가 지금 마주하고 있는 현실임을 실감하게 한다"면서 "AI 발전은 우리 산업과 일상을 바꾸는 데 그치지 않고, 사이버 위협의 양상까지 빠르게 변화시키고 있다"고 짚었다. 이어 과거에는 많은 시간과 전문성이 필요했던 공격이 AI를 통해 더욱 빠르고 정교해지고 있다면서 "클라우드와 IoT 등 디지털 환경이 확산되면서 공격이 시작될 수 있는 지점도 크게 늘어나고 있다. 이러한 사이버 위협이 현실화될 때 국민이 가장 직접적으로 체감하는 피해 가운데 하나가 바로 개인정보 유출이다. 정보보호가 시스템과 데이터를 지키는 방패라면, 개인정보 보호는 그 방패를 통해 국민의 권리와 신뢰를 지키는 일이라고 생각한다"고 설명했다. 특히 양 처장은 오늘날 사이버보안이 더 이상 개별 기업이나 기관만의 문제가 아니라면서 국민의 개인정보와 국가의 핵심 데이터, 주요 공공서비스가 긴밀히 연결된 환경에서는 한 번의 유출사고가 국민의 일상과 기업 활동을 넘어 국가의 핵심 기능과 사회의 안정성에도 영향을 미칠 수 있다고 진단했다. "이런 의미에서 개인정보와 데이터를 안전하게 지키는 역량은 기업의 경쟁력이자 국가안보를 뒷받침하는 중요한 기반"이라고 역설했다. 또 최근 몇 년 사이 통신·유통·플랫폼 등 국민 생활과 밀접한 분야에서 대규모 개인정보 유출사고가 반복되고 있고, 개인정보 유출 규모가 2025년 1억 건을 넘어 2022년 대비 20배 이상 증가했다고 들려줬다. "자신의 개인정보가 안전하다고 느끼는 국민이 14%에 불과하다는 통계도 있다"면서 "이러한 상황에서 개인정보보호위원회는 사고가 발생한 뒤 조사하고 제재하는 데 머무르지 않고, 위험을 미리 발견하고 사고를 막는 사전예방 중심의 개인정보 보호체계로 정책의 중심을 옮기고 있다"고 전했다. "그러나 모든 사고를 완전히 막을 수 있다고 장담하기 어려운 것도 현실"이라고 짚으며 "따라서 이제는 예방과 함께, 사고가 발생했을 때 피해가 확산되는 것을 신속히 차단하고 핵심 서비스와 시스템을 빠르게 정상화하는 회복탄력성 즉 '레질리언스'까지 갖춰야 한다"고 역설했다. 이러한 방향에 맞춰 지난 9월 11일부터 개정 '개인정보 보호법'이 시행되고 있다. 이에 따르면, 반복적이거나 고의·중과실로 중대한 피해를 일으킨 위반행위에는 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 책임을 강화했다. 또 개인정보 보호를 위해 사전에 예산‧인력‧설비 등에 적극 투자하거나, 사고가 발생하더라도 안전한 개인정보 보호체계로 신속하게 회복‧개선하는 경우 과징금 감경이 이루어질 수 있도록 하는 체계도 마련했다. 뿐만 아니라 CEO의 개인정보 보호에 대한 최종 책임을 명확히 하고, CPO의 권한과 책임도 강화했다. 주요 공공·민간 개인정보처리자에 대한 ISMS-P 인증 의무화도 내년 7월 시행을 앞두고 있다. 양 처장은 "개인정보 보호를 위한 투자는 단순히 비용을 늘리는 일이 아니다. 미리 충분히 투자해 사고를 예방하는 것이, 사고가 발생한 뒤 막대한 피해를 수습하고 잃어버린 신뢰를 회복하는 것보다 훨씬 효율적"이라면서 "개인정보 보호에 대한 투자는 국민과 고객의 신뢰를 지키고, 기업과 기관이 디지털 혁신을 지속할 수 있게 하는 기반이 된다. 이제 개인정보 보호를 민간의 경영과 공공의 행정 전반에 공통된 원칙으로 정착시켜야 한다"고 강조했다. 민간에 대한 당부도 잊지 않았다. "기업은 개인정보 보호를 사고가 발생한 뒤 대응하는 문제가 아니라 경영의 핵심 과제이자 경쟁력을 위한 투자로 인식해야 한다"면서 "CEO의 최종 책임 하에 CPO‧CISO가 경영진과 함께 위험을 관리하는 책임체계를 갖춰야 합니다. 또한 서비스 기획·개발 단계부터 개인정보 보호 중심 설계, 즉 Privacy by Design을 내재화해 개인정보 보호가 기업 운영의 기본 원칙으로 자리 잡도록 해야한다"고 밝혔다. 공공부문은 그 책임이 더욱 무겁다면서 "공공기관은 주민등록번호를 비롯해 복지, 조세, 고용 등 국민의 삶과 직결되는 중요한 개인정보를 폭넓게 처리하는 만큼, 더욱 높은 수준의 보호조치와 책임성을 갖추어야 한다. 이를 위해서는 시스템에 대한 보호조치를 강화하는 것과 함께 필요한 인력과 전문성을 확보하고, 개인정보 보호를 기관 차원의 핵심 업무로 관리하는 체계가 뒷받침돼야 한다"고 진단하며 "올해 6월부터 8월까지 643개 기관에서 총 3613개 개인정보시스템을 점검한 것도 이러한 책임을 실천하기 위한 과정"이라고 소개했다. 개인정보보호위원회도 민간과 공공의 이러한 노력이 실제 보호역량 강화로 이어질 수 있도록 제도와 정책적 지원을 지속해 나가겠다면서 "특히 개인정보 보호가 일부 담당자의 노력에만 의존하지 않고, 기관과 기업 전체가 함께 책임지는 체계로 자리 잡을 수 있도록 뒷받침하겠다"고 말했다. 정부와 민간기업, 공공기관, 연구기관, 보안기업이 각자의 경험과 전문성을 모을 때 변화하는 위협에 보다 효과적으로 대응할 수 있다면서 "오늘 이 자리가 새로운 보안기술과 현장의 경험을 나누고, 이를 실제 개인정보 보호 수준을 높이는 실천으로 이어가는 계기가 되기를 바란다. 개인정보를 보호하는 일은 개인의 권리를 지키는 데 그치지 않습니다. 우리 사회의 신뢰를 지키고, 대한민국의 산업 경쟁력과 국가안보를 뒷받침하는 일이다.개인정보보호위원회도 여러분과 함께 더욱 튼튼한 개인정보 보호체계를 만들어 가겠다"고 밝혔다. 백종현 회장 "AI 활용 새 위협에 어떻게 대응할 지가 중요 과제 떠올라" 전국정보보호정책협의회장도 맡고 있는 서울시 백종현 정보보안과장은 "오늘 이 자리는 정부와 지자체의 정보보호 정책을 공유하고, 산업계와 학계의 새로운 보안기술과 흐름을 함께 살펴보기 위해 마련됐다"면서 "최근 은행권을 대상으로 AI를 악용한 해킹 사례가 잇따라 발생하고 있고, AI의 발전과 함께 사이버 위협도 더욱 지능화되고 있다. 이러한 변화에 발맞춰 올해 컨퍼런스는 'AI가 만드는 미래, AI가 지키는 보안'을 주제로 마련했다"고 설명했다. AI 기술은 우리 사회와 행정 전반에 새로운 변화와 가능성을 만들어가고 있지만, 동시에 AI를 활용한 새로운 위협에 어떻게 대응 할 것인지도 중요한 과제가 되고 있다면서 "이제 AI를 잘 활용하는 것만큼 AI 시대에 걸맞은 보안체계를 갖추는 것이 중요하다. 이러한 시기에 공공과 민간의 정보보호 관계자들이 한자리에 모여 서로의 정책과 경험, 기술을 공유하는 것은 매우 의미 있는 일이라고 생각한다"고 짚었다. 백 회장은 "오늘 첫 번째 세션에서는 정부의 정보보호 산업정책과 개인정보보호 공공분야 실태, 서울시 정보보호정책과 전국 정보보호정책협의회의 주요 현안을 공유하고, 두 번째 세션에서는 AI 기반 사이버보안 기술, 제로트러스트, 랜섬웨어 대응, 국가망 보안체계 등 최신 기술과 대응방향을 함께 살펴볼 예정"이라면서 "오늘 컨퍼런스가 빠르게 변화하는 사이버보안 환경을 이해하고, 각 기관의 정책과 현장에 적용할 수 있는 실질적인 해법을 함께 모색하는 자리가 되기를 바한다. 또한 기관과 지역의 경계를 넘어 서로의 경험과 지식을 나누고, 앞으로도 지속적으로 협력할 수 있는 소중한 계기가 되기를 바란다"는 기대감을 보였다.

2026.10.08 14:47방은주 기자

개보위 "개인정보 보호 체계 전반 재정립 패러다임 전환 필요"

"개인정보보호 체계 전반을 재정립하는 패러다임 시프트가 필요합니다." 임종철 개인정보보호위원회 공공실태점검단장은 7일 서울 코엑스에서 열린 '대한민국 사이버보안 컨퍼런스 2026'에 참석해 "사이버범죄 산업화와 공격기술 고도화로 개인정보 침해 위협이 지속적으로 증대하고 있다"며 이 같이 밝혔다. 임 단장은 이날 '개인정보 관련 실태와 주요 정책 방향'을 주제로 발표했다. 개인정보보호위원회(개보위)는 정책의 무게중심을 사고 발생 후 수습과 처벌에 머물던 과거 방식에서 벗어나, 사전에 취약점을 차단하고 투자를 유도하는 '사전 예방 중심' 체계로 전환하고 있다. 단순 적발식 점검을 넘어 기업과 기관이 자발적으로 보안 체계를 다지도록 제도적인 유인책과 제재 수단을 함께 재정비하는 모양새다. 임 단장은 개인정보 정책 분위기 변화에 앞서 빈번히 발생하는 유출 사고 원인을 짚었다. 그는 "개인정보 보호를 다룰 때 해킹이 전부가 아니다"라며 "지난해에는 해킹 이슈가 많았지만, 올해 금융권 사고 이전까지만 해도 내부 직원의 일탈이나 부주의, 과실에 따른 개인정보 유출이 큰 화두였다"고 지적했다. 이어 "취약점이라는 것은 외부 해킹 공격 외에도 내부 일탈이나 부주의로도 발생된다"며 "해킹 방어뿐 아니라 내부 관리 작업이 반드시 병행돼야 한다"고 덧붙였다. 현장에서 드러난 기본 보안 조치의 미흡함도 언급했다. 임 단장은 "현장에 나가보면 AI를 활용한 신종 공격이나 정교한 해킹 기법을 논하기에 앞서, 이미 널리 알려진 보안 취약점 점검이나 기본 패치 관리조차 제대로 이행하지 않은 곳이 적지 않다"며 "새로운 기술 도입 이전에 가장 기본적인 조치를 충실히 갖추는 것이 급선무"라고 강조했다. 보안 실무 현장의 고충에 대해서도 현실적인 진단을 내놓았다. 임 단장은 "민간이든 공공이든 현장에 나가면 공통으로 인력과 예산에 대한 한계를 토로한다"고 전했다. 실제로 지난해 기준 민간 기업의 IT 예산 대비 정보보호 투자 비중은 6.3%, 전담 인력은 평균 0.8명에 불과했다. 공공 부문 역시 정보보호 투자 비중이 7.3%, 전담 인력은 0.3명에 그쳐 열악한 보안 여건을 드러냈다. 다만 자원 한계만을 이유로 사고 예방을 늦춰선 안 된다고 선을 그었다. 임 단장은 "정부 차원에서도 범부처 협력을 통해 공공 부문 인력을 늘리는 노력을 기울이고 있지만, 0.5명이나 1명 늘어난다고 해서 극적인 변화를 기대하기는 어렵다"며 "보안 담당자의 가장 큰 고민은 먼 미래에 확보될 예산과 인력이 아니라, 당장 지금 발생하지 말아야 할 사고를 막는 데 있어야 한다"고 말했다. 이어 "현재 주어진 환경 안에서 기존 취약점을 계속해서 확인하고 보완하는 현실적인 조치를 우선 실행해야 한다"고 당부했다. 이에 발맞춰 정부는 개인정보 보호 정책의 초점을 사후 처벌에서 사전 예방으로 전환하고 있다. 개인정보보호위원회(이하 위원회)는 '유출 대응 1차 개인정보 보호법 개정'에 따라 지난달 11일부터 반복적이거나 고의적인 중대 위반 행위에 전체 매출액의 최대 10%까지 부과하는 징벌적 과징금 제도를 시행하고 있다. 이와 동시에 예산과 인력, 설비 등 사전 예방 투자를 성실히 이행한 기업에는 사고 발생 시 과징금을 의무적으로 깎아주는 필수 감경 제도를 함께 도입했다. 단순 사후 처벌보다 사전 투자와 성실한 관리가 기업에 실질적인 이익이 되도록 하겠다는 취지다. 사전 예방 차원에서 조직 내부의 책임 구조도 손질했다. 대표(CEO)에게 관리·감독의 최종 법적 의무를 부여하고, 개인정보보호책임자(CPO)가 실질적으로 업무를 책임질 수 있도록 권한을 강화했다. 특히 매출 1800억원 및 100만명 이상 개인정보를 처리하는 기업을 비롯해 상급종합병원, 재학생 2만명 이상 대학, 공공시스템 운영기관에서는 CPO 지정신고제와 임명 및 면직 시 이사회 의결 절차를 도입하도록 했다. 정부 차원의 예방 점검 체계도 구체화됐다. 위원회는 사고 발생 후 조사에 착수하던 기존 관행에서 벗어나, 고위험 분야를 중심으로 취약점을 미리 살피는 '사전 실태점검'을 본격화하고 있다. 점검 과정에서 문제점을 발견하더라도 즉각적인 처벌보다는 시정 권고를 우선 내려 기업 스스로 보안 취약점을 개선하도록 유도하는 방식이다. 제도적인 안전망도 함께 보강한다. 제품과 서비스 기획·설계 단계부터 보안 요소를 반영하는 '개인정보보호 중심 설계(PbD)' 원칙과 인증제를 법제화하고, 주요 공공기관과 기업 시스템을 대상으로 정보보호 관리체계(ISMS-P) 인증 취득을 단계적으로 의무화해 예방 체계를 완성해 나갈 방침이다. 임 단장은 "유출 사고가 발생했을 때 정보주체의 피해를 구제하고 원인을 제공한 자에게 확실히 책임을 묻는 것도 중요하지만, 사고가 발생하지 않도록 사전 예방 정책을 추진하는 것이 위원회의 핵심 방향"이라며 "위원회가 끌고 나가는 사전 예방 정책에 대해 현장에서도 지속적인 관심을 두고 지켜봐 달라"고 말했다.

2026.10.08 10:37진성우 기자

SKT, 업스테이지와 'AI 사이버보안 협의체' 출범

SK텔레콤과 업스테이지가 한국 보안 기업, 대학과 협력해 현장 데이터 기반 독자 AI 보안 모델 고도화와 안전성 검증에 나선다. SK텔레콤은 업스테이지와 한국 주요 정보보호 기업, 대학이 함께하는 '독자 AI 사이버보안 협의체'를 출범하고, AI 정보보호 기술 협력을 위한 업무협약을 체결했다고 8일 밝혔다. 전날 오후 SKT타워에서 열린 협약식엔 SK텔레콤과 업스테이지를 비롯해 SK쉴더스, 시큐아이, 안랩, 라온시큐어, 지니언스, 파이오링크 등 정보보호 기업 6개사와 고려대, 숭실대, 부산대 등 대학 3개교를 포함해 총 11개 기관이 참여했다. 협약은 정부 '독자 AI 파운데이션 모델 프로젝트(독파모)'에서 3단계에 진출한 SK텔레콤 A.X K 시리즈와 업스테이지 솔라를 사이버보안 영역으로 확장하기 위해 마련됐다. 협의체는 보안기업 현장 데이터로 두 모델을 학습시키고, 대학이 안전성을 검증하며 참여사 보안 제품·서비스에 적용해 성과를 확인하는 구조다. 협의체는 악성코드 분석과 취약점 진단 등 현장에서 쌓인 방대한 데이터를 SK텔레콤 차기 모델 A.X K3와 업스테이지 솔라 차기 모델에 학습시켜 AI의 보안 상황 판단 역량을 높일 계획이다. 학습은 기초 지식을 다지는 사전 학습과 실제 업무 수행 능력을 키우는 사후학습 두 단계로 진행된다. 한국 정보보호 기업은 하루 170억 건에 달하는 위협 이벤트 등 보안 데이터를 결집한다. 성능이 강화된 AI 모델은 제로데이 취약점 분석과 실시간 보안관제 등 각 사 상용 보안 솔루션에 적용돼 실제 운영 환경에서 공동 실증을 거치게 된다. 안전성 검증을 위해 두 AI 모델이 서로를 공격해 취약점을 찾는 상호 레드티밍 기법이 도입된다. 대학 연구진은 제3자 입장에서 성능과 방어력을 평가한다. 데이터 확보와 학습, 성능 검증으로 이어지는 선순환 구조를 통해 외산 AI 의존도를 낮추고 한국 독자 'AI 사이버보안 주권'을 확보하는 데 기여할 것으로 기대된다. 유경상 SK텔레콤 AI CIC장은 "독자 AI 파운데이션 모델 프로젝트에서 검증된 모델이 한국 대표 정보보호 기업·대학과 실제 보안 현장에서 효과를 입증해, 국가대표 AI 모델의 활용 성과를 사이버보안 영역에서도 보여주겠다"고 밝혔다.

2026.10.08 09:47홍지후 기자

옥타코, AI 에이전트 보안 해법 제시..."신뢰체계 구축해야"

기업의 인공지능(AI) 활용이 문서 작성과 정보 검색을 넘어 실제 시스템을 조작하는 AI 에이전트 단계로 진화하면서 보안의 초점도 달라져야 한다는 제언이 나왔다. AI 사용 자체를 막기보다 AI가 누구를 대신해 어떤 권한으로 무엇을 수행하는지를 지속적으로 확인할 수 있는 검증 가능한 신뢰체계를 구축해야 한다는 것이다. 유장현 옥타코 전략사업팀 팀장은 7일 서울 코엑스에서 열린 AI페스타 대한민국 사이버보안 컨퍼런스 2026에서 'AI 에이전트 시대, 우리는 누구를 신뢰할 것인가? - 사람과 AI를 위한 제로트러스트 아이덴티티 전략'을 주제로 발표하고 이같이 밝혔다. 유 팀장은 “현재 기업에서 AI 에이전트 활용도가 굉장히 넓어졌다”며 “보고서를 작성하거나 문서를 검색하는 단계를 넘어 개발자들도 직접 코딩하기보다 검증하는 단계까지 왔고, 더 나아가 시스템과 응용프로그램 인터페이스(API, application Programming Interface)를 호출해 실제 업무를 자동화하는 단계로 나아가고 있다”고 진단했다. AI 에이전트의 등장은 기존 보안 체계에도 새로운 질문을 던지고 있다. 기존 업무 시스템에서는 사람이 직접 접속해 데이터를 조회하고 판단·처리했기 때문에 현재 접속한 사람의 신원을 확인 하는 것이 보안의 핵심이었다. 반면 AI 에이전트 환경에서는 사람이 에이전트에 업무를 위임하고, 에이전트가 사람을 대신해 데이터를 조회·판단할 뿐 아니라 시스템을 변경하거나 데이터를 외부로 전송할 수도 있다. 유 팀장은 “AI 에이전트와 생성형 AI 모델의 차이는 실제 행동 권한이 주어진다는 점”이라며 “에이전트에게 권한을 위임할 수 있지만 실제 책임은 사람과 조직에 남는다고 생각해야 한다”고 강조했다. 위험 역시 AI의 판단 단계에만 국한되지 않는다. 데이터 접근 과정에서 업무 문서나 민감정보를 필요 이상으로 조회할 수 있고, 판단 단계에서는 업무 등급이나 우선순위를 잘못 판단한 결과가 조직 전체로 확산될 가능성이 있다. 행동 단계에서는 계정을 생성하거나 접근 권한을 변경하고 데이터를 외부로 전송하는 등 보다 직접적인 보안 사고로 이어질 수 있다. 이에 따라 기업의 신원 검증 대상도 사람에서 AI로 넓어져야 한다는 게 유 팀장의 설명이다. 기존에는 사용자와 관리자의 신원을 확인했다면 앞으로는 AI 에이전트 자체의 신원은 물론 역할과 자격, 속성, 부여받은 권한까지 확인해야 한다. 그는 “에이전트가 누구인가를 넘어 누구를 대신해 무엇을 할 수 있는가까지 검증해야 하는 방향으로 가고 있다”고 설명했다. 유 팀장은 이를 위한 기반 가운데 하나로 신원·접근관리(IAM, Identity and Access Management)를 제시했다. IAM은 사용자나 시스템의 신원을 확인하고 각 대상이 어떤 정보와 시스템에 접근할 수 있는지를 관리하는 보안 체계다. 초기 IAM이 사람의 신원 관리에 집중했다면 관리 대상은 기기와 워크로드를 거쳐 AI 에이전트까지 확대되고 있다는 설명이다. AI 에이전트에 신원을 부여할 때도 단순한 식별자만으로는 부족하다. 에이전트 고유 아이디(ID)를 비롯해 에이전트에 권한을 위임한 책임 주체, 업무 목적, 접근 가능한 데이터 범위, 권한의 유효기간, 에이전트가 자신의 신원을 증명하기 위한 자격증명 등을 함께 고려해야 한다. 유 팀장은 AI 에이전트의 신원을 검증하기 위해 연구되고 있는 기술로 분산신원증명(DID, Decentralized Identifier)·검증가능자격증명(VC, Verifiable Credential) 기반 방식과 워크로드 아이덴티티(Workload Identity)를 소개했다. DID·VC 방식은 에이전트에 고유한 신원을 부여하고 신뢰할 수 있는 발행처가 제공한 자격증명을 통해 이를 검증하는 방식이다. 워크로드 아이덴티티는 서버나 컨테이너 등 실제 실행 환경에서 동작하는 에이전트나 워크로드에 신원을 부여해 시스템 간 인증이 가능하도록 하는 개념이다. 그는 두 기술이 서로 경쟁하는 개념이라기보다 서로 다른 신뢰 영역을 대상으로 논의되고 있다고 설명하면서 “신원과 위임된 권한을 구분해 관리해야 한다”고 강조했다. 특히 AI 에이전트에 한번 신원을 확인해줬다는 이유만으로 이후 모든 행동을 신뢰해서는 안 된다고 지적했다. 사람과 위임 관계, 에이전트 자체, 실행 환경, 실제 행동 등을 하나의 신뢰사슬(Chain of Trust)로 연결하고 각 단계가 유효한지를 지속해서 검증해야 한다는 것이다. 이는 제로트러스트 보안 원칙과 맞닿아 있다. 제로트러스트는 사용자나 시스템을 한 번 인증했다고 계속 신뢰하는 것이 아니라 접근 주체와 권한, 환경 등을 지속적으로 확인하고 필요한 경우 추가 인증을 요구하는 보안 접근 방식이다. 유 팀장은 “하나의 인증이 끝났다고 계속 신뢰하는 것이 아니라 지속적으로 검증하고 추가적으로 평가해야 한다”며 “이 부분이 제로트러스트 아키텍처와 연결될 수 있다”고 설명했다. AI가 요청해도 마지막 승인은 사람…FIDO 인증 활용 아울러 고위험 작업의 최종 승인자를 확인하는 수단으로는 패스트 아이덴티티 온라인(FIDO, Fast Identity Online) 인증을 활용할 수 있다고 소개했다. FIDO는 공개키 암호화 방식을 활용해 비밀번호 의존도를 낮추는 인증 표준이다. 유 팀장은 생체인증과 FIDO를 같은 개념으로 생각하기 쉽지만 둘은 구분해야 한다고 설명했다. 생체정보는 FIDO 인증에 활용할 수 있는 인증 수단 가운데 하나이며, FIDO 자체는 공개키 기반의 인증 기술이라는 것이다. 옥타코는 이날 현장 부스에서 AI 에이전트가 특정 업무 수행을 요청하면 사람이 보안키를 이용해 최종 승인하는 방식의 시연도 선보였다. 유 팀장은 기업이 AI 에이전트 도입에 대비하기 위해서는 크게 세 단계가 필요하다고 제언했다. 먼저 조직에서 어떤 AI 에이전트와 공유계정을 사용하고 있는지 파악하고 각각의 소유자와 업무 목적을 지정해야 한다. 동시에 고위험 데이터와 행동을 식별·분류해 조직의 현재 상태를 보이는 상태로 만드는 것이 첫 단계다. 두 번째는 통제하는 상태다. AI 에이전트의 아이덴티티와 권한 범위를 정의하고 상황정보를 토대로 접근 여부를 판단하는 정책을 적용해야 한다. 마지막은 검증하는 상태다. 관리자와 승인자에게 강력한 인증 수단을 적용하고 에이전트의 행동 이력과 이상 징후를 연결해 추적해야 한다. 필요할 경우 에이전트를 즉각 차단하거나 권한을 회수할 수 있도록 대응 체계도 갖춰야 한다. 유 팀장은 이날 “AI를 막는 것보다는 실제 검증 가능한 신뢰체계 안에서 안전하게 사용하는 것이 중요하다”며 “신원 확인은 출발점이고, 궁극적으로는 신뢰할 수 있는 실행이 목표”라고 강조했다.

2026.10.07 17:27이선민 기자

에브리존 "랜섬웨어 대응, 백업만으론 부족…차단·복구 함께 해야"

AI로 랜섬웨어 공격이 빨라지고 정교해지는 가운데, 피해를 줄이려면 데이터 백업과 함께 실시간 차단·복구 체계를 갖춰야 한다는 제언이 나왔다. 데이터를 복원할 수 있어도 복구 과정에서 발생하는 업무 중단과 손실까지 막기는 어렵다는 설명이다. 김준영 에브리존 팀장은 7일 서울 코엑스에서 열린 '대한민국 사이버보안 컨퍼런스 2026'에서 'AI 시대의 랜섬웨어: 탐지에서 차단과 복구로'를 주제로 발표하며 이 같은 대응 방향을 제시했다. 김 팀장은 AI가 피싱 메일 작성과 악성코드 제작, 취약점 분석 등에 활용되면서 기존 공격 방식이 고도화되고 있다고 진단했다. 영업 담당자에게는 견적 요청, 인사 담당자에게는 입사지원서, 재무 담당자에게는 세금계산서로 위장한 메일을 보내는 등 업무에 맞춘 공격이 정교해지고 있다는 분석이다. 그는 “여러분의 말투나 거래처 정보를 확인해 피싱 메일을 정교하게 만들어 공격한다”며 AI가 공격 대상의 업무와 소통 방식에 맞춘 문구를 만드는 데 활용될 수 있다고 설명했다. 랜섬웨어 피해는 파일 암호화를 넘어 생산 설비와 서비스 중단, 정보 유출, 기업 신뢰 하락으로 이어질 수 있다고 강조했다. 백업을 갖췄더라도 정상적인 업무 재개까지 걸리는 시간을 줄이는 것이 중요하다는 지적이다. 김 팀장은 한 제조기업이 랜섬웨어 피해 이후 약 20억원을 들여 백업 솔루션을 도입했지만, 재차 공격받아 복구에 일주일이 걸리고 약 150억원의 손실을 봤다는 사례를 소개했다. 그는 “백업은 복구를 가능하게 하지만 업무 중단과 손실을 막지는 못한다”고 말했다. 에브리존은 이러한 피해를 줄이기 위한 전용 안티랜섬웨어 솔루션 '화이트디펜더'를 소개했다. 김 팀장에 따르면 이 제품은 PC와 서버에서 파일 변경 행위를 실시간으로 모니터링하고, 랜섬웨어의 암호화 행위를 탐지하면 악성 프로세스를 차단한다. 손상된 파일은 제품의 백업 기능으로 확보한 데이터를 이용해 복원한다. 중앙 관리 플랫폼을 통해 여러 PC와 서버의 보안 정책을 설정하고 탐지 기록을 확인하는 기능도 제공한다. 김 팀장은 PC와 윈도우 서버뿐 아니라 리눅스 서버용 제품도 공급하고 있다고 설명했다. 전용 솔루션의 역할에 대해서는 “랜섬웨어를 탐지하고 바로 차단해야 하고, 감염된 파일을 자동으로 복구해야 한다”며 “가장 중요한 것은 업무 연속성을 확보하는 것”이라고 강조했다. 이어 “많은 분들이 랜섬웨어에 걸리고 나서 연락하지만 미리 대비하는 것이 오히려 비용이 적다”며 예방의 중요성을 당부했다.

2026.10.07 17:11류승현 기자

과기정통부 "AI가 찾는 취약점 급증…독자 보안 모델로 대응"

과학기술정보통신부가 AI로 급증하는 사이버 위협에 대응하기 위해 취약점 관리 체계를 강화하고 독자적인 사이버보안 특화 AI 모델 개발을 추진한다. 공격자가 취약점을 찾아내는 속도가 빨라진 만큼 이를 보완하는 방어 역량도 높여야 한다는 취지다. 이종혁 과기정통부 정보보호산업과장은 7일 서울 코엑스에서 열린 '대한민국 사이버보안 컨퍼런스 2026'에서 'AI 시대를 지탱하는 정보보호 정책 방향'을 주제로 발표하며 이 같은 방향을 설명했다. 이 과장은 AI가 해킹의 진입 장벽을 낮추고 공격의 속도와 규모를 키우고 있다고 진단했다. 해킹 전용 AI 모델이 등장하고 악성코드가 빠르게 생성되는 데다, AI의 학습 과정이나 입력을 조작해 서비스의 안전성을 위협하는 공격도 나타나고 있다는 설명이다. 특히 고성능 AI가 대량의 취약점을 찾아내면서 보안 대응의 핵심 과제가 달라지고 있다고 짚었다. 과거에는 공격자가 취약점을 발견하는 데 시간이 걸렸지만, 이제는 쏟아지는 취약점을 얼마나 빠르게 보완하느냐가 중요해졌다는 것이다. 이 과장은 “공개된 취약점을 언제 우리가 패칭해서 보완할지가 문제”라며 적극적인 대응이 필요하다고 강조했다. 자료에 따르면 한국인터넷진흥원(KISA)에 접수된 침해사고 신고는 2017년 287건에서 지난해 2383건으로 약 8배 늘었다. 과기정통부는 올해 5월 발표한 AI 사이버위협 대응 민간 정보보호 추진계획에 따라 민관군 합동 대응 체계를 마련하고 취약점관리센터를 신설했다. 센터는 취약점 수집·탐지·분석과 정보 공유, 보안 패치 관리 및 기술 지원 등을 수행한다. 독자적인 사이버보안 특화 AI 모델 개발도 시작했다. 이 과장은 해외 AI 모델에 의존할 경우 활용에 제약이 생길 수 있다며 “우리만의 독자 기술로 사이버보안 모델을 만들어야겠다는 문제 인식에서 출발했다”고 말했다. 개발에는 33개 산학연이 참여하는 네이버클라우드 컨소시엄이 선정됐으며, 올해 고성능 GPU 256장을 지원한다고 밝혔다. 보안 체계는 내부망과 외부망의 경계를 지키는 방식에서 사용자 권한과 데이터 이동을 지속적으로 검증하는 제로트러스트 방식으로 전환할 필요가 있다고 설명했다. 하나의 소프트웨어 취약점이 고객사와 협력사 등으로 확산할 수 있는 만큼 공급망 차원의 관리도 강조했다. 기업의 보안 투자와 중소기업 지원도 주요 과제로 제시했다. 이 과장은 보안 인증을 받은 기업에서도 사고가 발생하고, 보안을 여전히 비용으로 인식해 자발적인 투자가 부족한 현실을 지적했다. 정부는 정보보호 공시 의무 기업 확대와 최고정보보호책임자(CISO) 권한 강화, 보안 사각지대 지원 등을 추진하고 있다고 설명했다. 이 과장은 “사이버보안은 한순간의 방심이 정말 큰 피해로 이어질 수 있다”며 기업 전략과 일상에서 보안을 함께 고려해 달라고 당부했다.

2026.10.07 15:32류승현 기자

정부, 공공 보안사고 '메스'...기관장 징계하고 담당자 사기 '업'

정부가 1일 행정안전부·국가정보원·인사혁신처·개인정보보호위원회 등 관계부처와 합동으로 마련한 '공공부문 사이버보안 책임성 강화 방안'을 발표했다. 방안에 따르면, 현재 153곳에 불과한 국정원의 '사이버보안 실태 평가' 대상을 내년에 기타공공기관(276곳), 지방공기업(423곳), 시도교육청(16곳) 등 868개 기관을 추가하고 2028년에는 전체(2160개) 기관으로 확대한다. 또 사이버보안 사고시 그동안 거의 처벌이 없었더 기관장에 대한 책임도 강화, 책임을 묻는다. 특히 사이버보안 인력과 예산을 늘리고 담당자에 대한 처우도 개선한다. 이번 방안은 최근 일어난 모두의 창업 정보유출, 국립대학병원 랜섬웨어 감염 등 공공분야에서 발생한 주요 보안사고들이 상당 부분 '기본적인 보안수칙 미준수'에서 비롯됐다는 분석에 따라 마련했다. 특히, 기본적인 보안수칙을 위반하더라도 대부분 징계가 이뤄지지 않고, 징계도 관리자보다 실무자 위주로 이뤄지고 있는 점을 주요 원인으로 진단, 보완책을 마련했다. 이에, 보안사고에 대한 관리자·담당자 징계 기준을 강화함과 동시에 정보보호 업무 기피 방지를 위해 담당자에 대한 지원방안도 강화한다. 특히 기관 차원의 보안사고 사전예방 강화를 위해 사이버보안 평가체계를 정비하고, 관련 조직과 예산을 보강하는 내용도 방안에 포함했다. 공공부문 사이버보안 실태 행안부에 따르면 지난 2021년부터 올 5월까지 약 5년여간 공공부문에서 247건의 정보 유출 사고가 발생했다. 이중 9건에 대해 징계처분이 있었는데, 기관장 징계는 하나도 없었다. 행안부는 "정보 유출 사고시 비정무직 기관장이 직접 징계받은 경우는 없었고, 책임자와 관리자 징계도 1%밖에 안됐다"고 설명했다. 행안부에 따르면, 정무직 기관장은 국가공무원법 제 3조1항에 따라 징계 대상이 아니며, 공무원 징계령 시행규칙상 비밀엄수 의무 위반(해킹 등에 의한 비밀 침해, 개인정보관리 소홀)으로 징계가 최대 파면까지 가능하다. 보안사고에 대한 기관장·담당자 징계 기준 강화 기존에는 보안사고가 발생해도 개인정보·비밀 침해나 고의적인 사고 위주로 징계가 이뤄졌고, 기본적인 보안수칙 위반에 대해서는 명확한 처리지침이 없었다. 정부는 이를 개선해 초기 비밀번호를 변경하지 않고 사용하거나 발견된 보안 문제점을 장기간 미조치하는 등 기본적인 정보보호 수칙 위반에 대한 적용 가능한 징계 기준 등 명확한 처리지침을 마련할 계획이다. 또 위중한 정보 유출사고 발생 시에는 감독자에게 책임을 부과하도록 '공무원 징계령 시행규칙' 등에 명문화하고, 징계 기준을 상향, 기관장(비정무직만 해당)도 엄중 문책할 방침이다. 즉, 현재는 금품 수수, 직무 태만에 따른 국민권익침해와 재정 손실시 감독자를 엄중 문책하도록 돼 있는데, 여기에 위중한 정보 유출 사고도 감독자에게 엄중 책임을 묻는 조항을 오는 11월까지 인사처가 신설할 예정이다. 또 명확한 징계 조치를 위해 현재 단순 분류된 사이버보안 관련 위규사항을 세분화, 구체화한 '사이버보안 위규 처리 기준'을 새로 마련, '국가공무원 복무 및 징계 관련 예규'에 반영하는 걸 오는 12월까지 인사처와 국정원이 추진한다. 여기에 국정원이 '사이버보안 실태평가'에 정보 유출사고 시 감점과 사고 신속 조치 등 신규지표를 도입, 실효성을 보강하고, '중앙행정기관 특정 평가(정부혁신)'에 중대 정보 유출사고 발생시 평가점수 감점 사항을 국조실, 행안부, 국정원이 추진, 내년부터 추가할 계획이다. 뿐만 아니라 '지방공기업 특정평가'에도 사이버보안 평가지표를 신설, 2028년도 평가분에 반영한다. 특히 현재 153곳에 불과한 국정원의 '사이버보안 실태 평가' 대상을 내년에 기타공공기관(276곳), 지방공기업(423곳), 시도교육청(16곳) 등 868개 기관을 추가하고 2028년에는 전체(2160개) 기관으로 확대한다. 평가체계 개선하고 우대방안 마련 및 조직·예산 확대 정부는 개인 뿐 아니라 기관 차원에서도 사이버보안 향상 노력을 유인하도록 평가제도를 개선한다. 먼저, 국가정보원 주관의 '사이버보안 실태평가'를 올해 기준 153개 기관에서 오는 2028년까지 2000여 개 국가 및 공공기관으로 확대, 적용한다. 또 실태평가에 정보 유출사고 시 감점, 사고 신속조치 등 신규 지표를 도입하고, '중앙행정기관 특정평가'의 평가 반영과 '지방공기업 경영평가' 등에도 사이버보안 평가지표를 추가해 실효성을 강화할 예정이다. 아울러, 보안사고에 대한 징계를 확대함에 따라 관련 업무 기피 현상을 방지하기 위한 인사상 우대방안도 마련한다. 정보보호 수당 신설, 정보보호 담당자 성과평가 시 가점 부여, 중요직무 선정 기준에 정보보호 업무 포함 등을 검토한다. 전담 조직과 인력 부족 해소 국가와 공공기관의 사이버보안은 전담 조직과 인력 부족, 사기저하 문제에 직면해 있다. 실제, 중앙행정기관(49개)에서 전담부서(과나 팀)를 운영하는 곳은 22%(11개)에 불과하다. 과 단위 조직은 6곳(과기정통부, 외교부, 산업부, 기후부, 국토부, 국세청)이, 팀 조직은 5곳(교육부, 행안부, 복지부, 병무청, 기상청)이 운영하고 있다. 또 국정원이 2025년 시행한 '사이버보안 실태평가' 결과 사이버보안 담당인력을 정보화 업무 담담 인력 대비 기준을 지키지 못하는 기관이 24%(152곳 중 37곳)에 달했다. 국가사이버보안 기본 지침 제 5조 3항에 따르면, 정보화 업무 담당인력 대비 사이버보안 인력을 10% 이상 운영하도록 돼 있다. 예산투자 순위도 하위권이다. 기술지원이 어려워 보안에 취약한 노후SW 교체도 기관내 투자 우선 순위가 낮아 예산 확보가 어려운 실정이라고 행안부는 밝혔다. 여기에 사이버보안 업무는 높은 전문성을 요구하는데 반해 사고시 책임부담과 무사고 성과를 증명하는 게 어렵다는 점 등으로 사기 저하와 함께 보안이 기피 업무가 됐다고 행안부는 진단했다. 이에 정부는 중앙행정기관과 광역지자체에 사이버보안 인력을 보강한다. 중앙행정기관은 개인정보포함 100명 증원을 완료했고, 지방자치단체 사이버보안 인력 증원은 오는 12월까지 추진한다. 여기에 정보보호 전문성 확보를 위해 민간 정보보호 전문가를 장으로 하는 과와 팀을 구성, 운영하게 할 방침이다. 예산 확보와 관련해서는 오는 10월까지 국정원이 정보시스템 특성에 따라 정보보호 활동에 필요한 기본적인 소요 사항을 발굴 및 정리(모의해킹 등 정기 취약점 점검과 긴급 조치, 보안 지원 종료된 노후 SW 교체, 유료 보안 지원 서비스 이용, 민간 클라우드 서비스 이용시 보안 서비스 구독 등)한다. 이후 안정적인 사이버보안 예산 투자 유도 방안을 예산처 등 관계 부처와 논의할 예정이다. 보안 담당자들을 위한 인센티브 마련도 추진한다. 예컨대, 별도로 정보보호 업무 수당 신설을 추진한다. 현재 예산 당국과 논의중이다. 또 승진 평가시 가점도 부여할 예정이다. 인사처가 오는 12월까지 관련 규정을 만들 계획이다.

2026.10.01 13:36방은주 기자

네이버클라우드 "공격·방어형 AI 키운다…보안 데이터 830TB 확보"

"우리는 보안 특화 인공지능(AI) 모델 개발을 위한 준비를 모두 마쳤습니다. 그래픽처리장치(GPU) 4512장과 보안 데이터 830테라바이트(TB)를 활용해 공격·방어용 모델을 구축할 것입니다. 이를 통해 국가 핵심시설과 기업 사이버 위협 대응 역량을 높일 것입니다." 김진휘 네이버클라우드 전무는 22일 더 그랜드 롯데 서울 3층 사파이어볼룸에서 열린 '사이버보안 특화 AI 모델 개발사업 착수간담회'에서 프로젝트 전략을 이같이 밝혔다. 네이버클라우드 컨소시엄은 앞으로 10개월간 보안 특화 AI 모델 2종을 개발한다. 컨소시엄은 그래픽처리장치(GPU) 4512장과 약 830테라바이트(TB) 보안 데이터를 모델 개발에 활용한다. 참여기관 33곳과 협력기관 8곳 등 총 41개 기관은 데이터 수집과 모델 개발부터 성능 검증·현장 실증까지 역할을 나눠 수행한다. GPU 4512장은 네이버클라우드·LG AI연구원의 자체 자원 4256장, 정부 지원 물량 256장으로 구성된다. 네이버클라우드는 지난 8월부터 엔비디아 B200 4000장을 모델 개발에 투입한 바 있다. LG AI연구원은 H200 256장을 활용할 계획이다. 정부가 제공하는 B200 256장은 데이터 전처리와 모델 학습·현장 실증에 배분한다. 네이버클라우드 컨소시엄은 모델 학습에 필요한 보안 데이터 약 830TB를 우선 확보했다. 확보한 데이터에는 네이버클라우드와 LG CNS가 보유한 위협·운영 데이터와 국가 핵심 인프라·보안 산업 현장에서 수집한 실제 데이터가 포함됐다. 컨소시엄은 원천 데이터를 학습용 데이터로 가공하고 데이터셋과 라벨을 자동으로 구축하는 체계도 마련한다. 네이버클라우드와 LG AI연구원은 '하이퍼클로바X'와 '엑사원' 기반으로 보안 특화 모델을 각각 개발할 방침이다. 하이퍼클로바X 기반 모델은 여러 시스템의 위협 정보를 분석하고 대응 방안을 제시하는 방어 능력을 강화한다. 엑사원 기반 모델은 소스코드를 분석해 취약점과 실제 공격 경로를 찾아내는 능력에 집중한다. 김 전무는 "우리 컨소시엄은 두 모델의 공격과 방어 과정서 얻은 결과를 서로의 학습에 활용할 것"이라며 "공격형 모델이 발견한 취약점은 방어형 모델의 학습 데이터로, 방어형 모델이 제시한 대응 방식은 공격형 모델이 다시 검증할 과제로 활용할 것"이라고 밝혔다. 컨소시엄은 전체 개발 과정을 2단계로 나눠 진행할 계획이다. 1단계에서는 학습 방법을 최적화하고 평가·검증 체계를 확정할 방침이다. 2단계에서는 앞서 마련한 학습 방법을 적용해 각각 파라미터 약 7000억개급 보안 특화 모델의 성능을 높일 계획이다. 김 전무는 국제 벤치마크와 공인기관 검증을 통해 두 모델 취약점 발굴 능력과 침해사고 조사 성능을 측정한다고 설명했다. 그는 "금융·전력·과학기술·통신·반도체·방위산업·항공우주 분야의 국가 기반시설과 핵심 전략산업에서도 모델을 실증할 것"이라며 "검증을 마친 모델은 국내 보안 솔루션과 연동해 취약점 진단과 사이버 공격 대응·침해사고 조사 서비스에 적용할 것"이라고 말했다. 컨소시엄은 개발한 모델 2종을 오픈소스로 공개하고 중소기업에 취약점 점검 서비스를 지원할 계획이다. 네이버클라우드의 글로벌 AI 팩토리 사업과 LG그룹의 13개국 해외 거점을 활용해 현장 구축형 보안 AI 패키지의 해외 공급도 추진한다. 이날 김유원 네이버클라우드 대표는 "해외 모델로 지킬 수 없는 대한민국을 한국형 보안 특화 AI 모델로 지킬 것"이라고 밝혔다.

2026.09.22 16:57김미정 기자

사이버보안 특화 AI 개발 착수...사업자 간담회 개최

'사이버보안 특화 AI 모델 개발' 프로젝트에 선정된 네이버클라우드 컨소시엄의 개발 계획을 청취하고 협력 방안을 논의하는 사업자 간담회가 22일 오후 더 그랜드 롯데 서울 3층 사파이어 볼룸에서 열렸다. 이번 사업자 간담회는 사이버보안 관련 대내외 관심이 높은 상황을 고려, 과기정통부는 기업의 개발 계획 발표를 기자단에 공개했다. 컨소시엄 주관사인 네이버클라우드는 믿고 쓸 수 있는 우리만의 사이버보안 인공지능 모델 개발을 목표로, 국내 보안기업들의 현장 데이터와 전문가 방어 노하우를 결합, 국가 핵심시설과 산업 현장에 바로 투입할 수 있는 사이버 방패를 만들겠다는 포부를 밝혔다. 이어진 자유토론에서는 컨소시엄 참여사를 중심으로 사이버보안 특화모델의 경쟁력 확보전략, 정부지원 요청사항 등 열띤 논의가 이어졌다. 배경훈 부총리는 모두 발언에서 “AI 보안주권 확립과 안보 전략자산으로서 우리만의 AI 보안모델 확보는 필수"라며 "최근 부각한 AI 속도조절론 속에서도 프론티어 AI 역량 보유 여부가 한 국가의 미래를 좌우하는 만큼 우리는 속도 조절이 아니라 과감한 도전을 계속해야 한다”고 강조했다. 이어 "이런 맥락에서 이번 사업은 우리가 직면한 사이버위협에 즉각 대응하기 위해 실제 보안현장에서 즉시 활용 가능한 글로벌급 모델을 과감하고 신속하게 개발하는 것이 목표”라며 "정부는 사이버보안 특화모델 개발 컨소시엄과 합심해 인프라 지원, 경쟁력 확보, 활용 및 확산 등 모든 사항을 함께 고민하고 적극 지원할 예정이다. 이번 사업을 통해 안전신뢰 토대 위에 AI 혁신을 주도하는 대한민국 AI를 만들어 갈 수 있도록 민관이 함께 힘을 모아달라”고 덧붙였다.

2026.09.22 15:00방은주 기자

"클로드로 오픈AI 뚫었다"…직원 계정 넘어 내부 코드 저장소까지 접근

앤트로픽의 인공지능(AI) 모델 클로드를 활용한 보안 연구진이 오픈AI 커뮤니티 포럼의 취약점과 인증 체계 문제를 연계해 직원 계정과 비공개 소프트웨어 저장소까지 접근한 것으로 나타났다. 17일(현지시간) 월스트리트저널(WSJ)에 따르면 보안업체 핵트론AI 연구진은 지난 7월 오픈AI의 커뮤니티 포럼을 운영하는 외부 서비스 디스코스의 취약점을 공략했다. 연구진은 클로드를 활용해 취약점을 분석하고 공격 코드를 작성했으며 이를 통해 서버에 접근한 뒤 사용자 인증 토큰을 확보했다. 확보한 토큰 가운데 일부는 오픈AI 직원의 계정과 연결돼 있었다. 연구진은 이를 이용해 직원의 챗GPT·코덱스 계정에 접근했다. 해당 계정에 연결된 깃허브 환경을 거쳐 오픈AI의 비공개 저장소까지 접근할 수 있는 사실도 확인했다. AI 모델 성능에 따른 차이도 드러났다. 연구진이 처음 사용한 클로드 오퍼스4.8은 공격에 성공하지 못했지만 앤트로픽이 같은 날 클로드 오퍼스5를 출시한 뒤 새 모델을 활용해 취약점을 공략하는 방법을 찾아냈다. 연구진은 취약점 분석부터 공격 코드 작성, 내부 저장소 접근까지의 과정에서 클로드를 활용했다고 설명했다. 연구진이 접근한 곳은 오픈AI의 비공개 소프트웨어 저장소인 '모노레포'다. 이 저장소에는 오픈AI 모델을 빠르고 효율적으로 작동시키기 위한 알고리즘 관련 기술이 포함된 것으로 전해졌다. 다만 AI 모델 가중치는 포함되지 않은 것으로 알려졌다. 연구진은 민감한 정보에 접근할 수 있다는 사실을 확인한 뒤 추가적인 열람을 중단했다. 접근 권한을 입증하기 위한 풀 리퀘스트를 생성했지만 실제 코드 변경 사항이 저장소에 반영되지는 않았다. 오픈AI는 비공개 저장소의 메타데이터와 코드가 제한적으로 열람된 사실을 확인했으며 관련 문제는 모두 수정했다고 밝혔다. 연구진은 오픈AI 내부 인증 체계 문제를 확인한 뒤 이를 버그바운티 프로그램을 통해 신고했으며 6500달러의 포상금을 받았다. 버그 바운티는 기업 시스템의 취약점을 찾아 신고하면 포상금을 지급하는 프로그램이다. 다만 오픈AI는 커뮤니티 포럼을 운영하는 디스코스에 대한 테스트 자체는 자사 버그바운티 범위에 포함되지 않는다고 설명했다. 모한 페다파티 핵트론AI 최고기술책임자(CTO)는 "우리가 중국의 위협 행위자들만큼 강하다고 생각하지 않는다"며 "클로드와 코덱스 구독권을 가진 세 명에 불과하다"고 말했다.

2026.09.18 17:50이나연 기자

Prev 1 2 3 4 5 6 7 Next