조현숙 이사장 "보안은 사후 약방문 안 돼…AI 설계 단계부터 내재화해야"

인공지능(AI) 기술이 급격히 발전하며 AI 에이전트의 활용도가 높아지는 가운데, 보안 패러다임의 근본적인 변화가 필요하다는 지적이 나왔다. 기존 시스템에 보안 솔루션을 덧붙이는 방식은 오히려 시스템의 효율성을 저해하고 보안 취약점을 키울 수 있다는 분석이다.

티타임즈TV 영상에 따르면, 조현숙 코드게이트보안포럼 이사장은 최근 진행된 인터뷰에서 AI 시대의 보안 핵심으로 '보안의 내재화'를 꼽았다. 조 이사장은 "현재 시스템에 그대로 보안을 얹으면 누더기가 된다"며 "어떤 악성 코드가 나타났다 하면 그걸 잡기 위해 보안 시스템을 계속 붙이다 보면 시스템이 누더기가 돼 있다"고 설명했다. 이어 "새로운 시스템이라면 반드시 보안을 내재화해야 한다"며 "독자 AI 파운데이션 모델(독파모)도 설계 초기부터 보안이 들어가야 한다"고 강조했다.

AI 해킹의 가속화와 에이전트 권한 통제의 필요성

AI 기술은 해킹의 양상도 완전히 바꾸고 있다. 영상에서는 AI를 활용한 해킹 속도가 인간 해커에 비해 압도적으로 빠를 수 있음을 경고했다. 영상에서는 "2018년에는 취약점을 뚫는 데 평균 2.2년이 걸렸다면, 미토수(MitoSu)를 활용하면 20시간밖에 안 걸린다"며 AI가 해킹의 도구로 쓰일 때의 위험성을 언급했다.

특히 스스로 판단하고 행동하는 'AI 에이전트'의 등장은 새로운 보안 과제를 던지고 있다. AI 에이전트가 이메일 발송, 문서 열람, 결제 등 다양한 권한을 부여받게 되면서, 이 권한을 어디까지 허용할 것인지가 핵심 쟁점으로 떠올랐다. 조 이사장은 모델이 무엇을 학습했는지, 누구의 데이터에 접근했는지, 어느 범위까지 활동할 수 있는지를 통제할 수 있어야 한다고 설명했다. 또한 인간이 AI와 협업하며 어느 순간에 동작을 멈출 수 있는 능력을 갖춰야 한다고 제언했다.

사이버-피지컬 보안과 국가 안보 리스크

보안의 영역 또한 소프트웨어에 국한되지 않고 물리적 세계로 확장되고 있다. 조 이사장은 '사이버 피지컬 보안'의 중요성을 언급하며, 사이버 공격이 반도체 공장이나 데이터 센터 같은 물리적 생산 시설의 타격으로 이어질 수 있음을 경고했다. 이는 자율주행이나 스마트 팩토리 등 '피지컬 AI' 시대에 인명 안전과도 직결되는 문제다.

또한, 사이버 공격이 국가 기반 시설의 마비로 이어지는 '사이버 전쟁'의 위험성도 지적됐다. 작은 악성 코드 하나가 통신망이나 전력망을 타고 확산되어 국가 전체를 무력화할 수 있다는 것이다. 조 이사장은 한국의 보안 취약점으로 경직된 대응 문화와 약한 처벌 규정을 꼽았다. 그는 "문제가 생겼을 때 바로 고칠 수 있어야 하는데, 보고 체계가 복잡해 즉각적인 대응이 어렵다"며 "사고 발생 시 대응할 수 있는 강력한 처벌 규정도 법적으로 마련되어야 한다"고 말했다.