말도 없이 혼자 내부자료 검색까지 했다…기업 보안마저 위협하는 AI

기업 58%, 자동화로 보안사고 경험
예산 늘렸지만 활동·관리 파악못해
AI마다 책임자 지정·권한 통제 권고

[연합뉴스]

인공지능(AI)이 사람을 대신해 기업의 업무를 처리하는 시대가 열렸지만, 이를 악용한 사이버보안 위협도 커지고 있다. AI가 이메일을 보내고 내부 자료를 검색하는 등 스스로 업무를 수행하면서 기업의 중요 정보에도 접근할 수 있기 때문이다.

실제 기업 10곳 중 6곳꼴로 AI를 비롯한 각종 자동화 시스템의 신원을 확인하고 접근 권한을 관리하는 것과 관련해 보안 사고를 경험한 것으로 나타났다. 기업들이 보안 예산을 늘리고 있지만, 기존의 직원 중심 보안 체계만으로는 AI 시대의 새로운 위험에 대응하기 어렵다는 지적이 나온다.

8일 글로벌 시장조사업체 가트너가 최근 발표한 ‘기계 신원·접근 관리를 통한 사이버보안 강화(Innovation Insight: Strengthen Cybersecurity with Machine IAM)’ 보고서에 따르면 조사 대상 기업의 58%가 AI 관련 시스템과 일반 자동화 시스템의 신원 관리와 관련된 사이버보안 사고를 경험했다고 답했다.

사고의 영향으로 업무 중단을 보고한 기업은 42%, 금전적 손실은 36%, 기업 평판 훼손은 32%로 나타났다.

눈길을 끄는 것은 기업들이 보안 투자를 확대하고도 관리상의 허점을 드러내고 있다는 점이다.

조사 대상 기업의 71%는 AI와 자동화 시스템 등의 신원·접근 관리에 투입하는 예산을 늘렸다고 답했다. 하지만 48%는 공식적인 보안 교육 및 인식 제고 정책을 갖추지 못한 것으로 조사됐다. 자동화 시스템의 신원을 지속적으로 찾아내고 확인하는 정책이 없는 기업도 45%에 달했다. 관련 위험을 평가하는 정책이 없는 기업은 44%였다.

돈은 더 쓰고 있지만 정작 어떤 AI와 프로그램이 기업 내부에서 활동하고 있는지, 누가 이를 관리하는지조차 제대로 파악하지 못하는 기업이 적지 않다는 의미다.

가트너는 이런 문제의 원인으로 기존 보안 체계의 한계를 지목했다. 그동안 기업의 보안 관리는 직원의 아이디와 비밀번호를 확인하고 업무에 필요한 접근 권한을 부여하는 방식에 초점이 맞춰져 있었다. 하지만 AI 에이전트와 자동화 프로그램은 사람과 달리 별도의 로그인 과정 없이 시스템에 접속하거나 다른 프로그램과 정보를 주고받을 수 있다.

특히, AI 에이전트는 사람에게 위임받은 권한으로 여러 업무를 스스로 처리한다. 이 과정에서 예상하지 못한 정보에 접근하거나 필요 이상의 권한을 행사할 가능성이 있다.

예컨대 기업 내부 자료를 검색하고 보고서를 작성하도록 설계된 AI가 업무 수행에 필요하지 않은 고객 정보나 기밀 자료까지 열람할 수 있도록 설정돼 있다면 보안상 위험이 발생할 수 있다.

문제는 이런 접근 권한이 장기간 유지되거나 관리 책임자가 불분명할 때 더욱 커진다는 점이다.

가트너는 기존의 비밀번호나 인증키를 장기간 사용하는 방식도 개선해야 한다고 강조했다. 인증 정보가 외부에 유출되거나 사용하지 않는 계정이 방치될 경우 공격자가 이를 악용할 수 있어서다.

이에 따라 AI와 자동화 시스템에도 각각 고유한 신원을 부여하고, 어떤 업무를 수행하며 어디까지 접근할 수 있는지 지속적으로 관리해야 한다고 권고했다. AI 시스템의 개발, 배포, 운영 전 과정에서 안전성, 공정성, 투명성, 책임성 등을 확보하기 위해 사용하는 정책, 규칙, 감독 메커니즘의 집합 개념인 AI 거버넌스를 준비하고 적용해야 한다는 의미다.

핵심은 필요한 업무에 필요한 권한만 부여하는 것이다. AI 에이전트가 업무를 수행하는 동안에만 접근 권한을 허용하고, 작업이 끝나면 인증 정보가 자동으로 만료되도록 하는 방식을 제시했다.

AI 에이전트마다 관리 책임자를 지정하는 것도 중요한 과제로 꼽았다. 어떤 AI가 언제 만들어졌고, 어떤 자료에 접근할 수 있으며, 누가 책임지는지 기업이 파악할 수 있어야 한다는 것이다.

가트너는 AI 에이전트를 보안 위험이 높은 업무 시스템으로 분류해 관리할 필요가 있다고 강조했다. 승인된 AI 모델만 사용하도록 하고, 실행 시간과 접근 권한을 제한해야 한다는 설명이다. 보안 검토 없이 AI 모델이나 업무 범위가 변경되면 접근 권한을 중단하는 방안도 제시했다.

보안 관리 체계를 부서별로 따로 운영하는 관행도 바꿔야 한다고 지적했다. 기업 차원에서 공통 보안 정책을 마련하되 각 부서가 이를 실제 업무 환경에 적용하도록 하는 통합 관리 체계가 필요하다는 취지다.

다만, 보안 체계를 강화하는 과정에서도 주의도 필요하다고 지적했다. 인증 정보를 지나치게 자주 변경하거나 시스템 간 연동이 제대로 이뤄지지 않으면 정상적인 업무까지 중단될 수 있어서다.

가트너는 기존 보안 시스템을 충분히 점검한 뒤 필요한 기능을 보완하고, AI와 자동화 시스템의 신원 관리부터 접근 권한 통제까지 단계적으로 개선할 것을 주문했다.

이번 보고서에 활용된 주요 설문은 지난해 9~10월 북미와 유럽·중동·아프리카, 아시아태평양 지역 기업의 보안·정보기술(IT) 책임자 299명을 대상으로 진행됐다.