AWS "`심층방어 보안`으로 생성형AI 시대 보안 책임지겠다"

레이어별로 데이터 보호...우아한 형제들, 매주 수천건 위협 차단
생성 AI 3개 계층으로 구분, 인프라부터 애플리케이션까지 지킨다

신은수 AWS코리아 보안 전문 수석 솔루션즈아키텍트가 20일 서울 역삼 AWS코리아 오피스에서 보안 혁신 및 트렌드 미디어 브리핑에서 심층 방어 보안을 소개하고 있다.AWS코리아 제공

"AWS는 전 세계적으로 가장 안전한 클라우드제공사업자(CSP)이자 고객을 위한 안전한 설계를 제공한다. 오랜 기간 클라우드 사업을 하면서 많은 보안 요구사항을 들어왔고, 이를 충족하는 다수의 서비스와 프로세스를 개발했다. AWS는 심층보안을 통해 고객들이 AI 보안 환경을 만들 수 있도록 돕고 있다."

챗GPT가 촉발한 인공지능(AI) 개발 경쟁은 기술의 비약적인 발전과 전 산업군의 AI 전환을 이끌어내고 있으나, 생성형 AI로 인한 보안 리스크에 대한 문제가 공존하고 있다. 아마존웹서비스(AWS)코리아는 전 세계에서 가장 안전한 인프라와 '심층 방어'(Defense-in-depth) 보안으로 고객을 보호하겠다고 밝혔다.

AWS코리아는 20일 서울 역삼 AWS오피스에서 '2024 보안 혁신 및 보안 트렌드' 미디어 세션을 열고 '심층 방어'가 생성형 AI의 보안 위협을 제어할 수 있는 방안이라고 소개했다.

심층 방어 보안은 구축형(온프라미스)에서도 주로 사용했던 방법으로 데이터를 여러겹으로 보호하는 방식이다. 세부적으로는 정책, 절차 및 인식 제고, 네트워크 및 엣지 보호, ID 및 액세스 관리, 위협 탐지 및 사고 대응, 애플리케이션 보호, 인프라 보호 등 레이어별로 방어하면서 데이터 자체 보안도 하는 것이다.

신은수 AWS코리아 보안 전문 수석 솔루션즈아키텍트는 "온프라미스에서 수행했던 심층 방어를 클라우드에서도 해야한다"며 "AWS는 고객들이 위협을 탐지하고 분석할 수 있는 아마존 가드듀티, 메이시, 인스펙터, 디텍티브, 시큐리티 레이크 등 서비스를 제공하는 한편, 시큐리티 허브를 통해 통합 관리할 수 있는 환경을 제공한다"며 "여러 영역에서의 서비스를 관리하고 있고 서비스 이용자들은 생성 AI의 전반적인 보안을 강화할 수 있다"고 설명했다. 수석 솔루션즈아키텍트는 회사 기술 전략과 솔루션 아키텍처를 총괄하는 직책이다.

AWS의 심층보안으로 비즈니스 보안을 강화한 국내 기업은 국내에서 '배달의 민족' 우아한형제들이 대표적이다. 이날 발표에 따르면 김동현 우아한형제들 최고정보보호책임자(CISO)는 "AWS 가드듀티를 비롯한 여러 AWS 보안솔루션을 통합해 강력한 위협 탐지 및 대응(TDR)을구축하기 위해 노력했다"며 "이 TDR을 통해 매주 수천건의 위협을 탐지하고 차단해 왔다. 앞으로도 지속적으로 개선해 나갈 계획"이라고 전했다.

아울러 AWS는 생성형 AI를 스택이라는 개념으로 접근하고 △인프라를 제공하는 하단 계층 △생성 AI를 활용할 수 있는 '베드록'의 중간 계층 △애플리케이션을 활용하는 상단 계층으로 분류했고, 전 계층에 걸쳐 보호하고 있다고 밝혔다.

AWS에 따르면 각 계층별로 아마존 Q 디벨로퍼(상단 계층), 가드레일 포 아마존 베드록(중간 계층), 나이트로 시스템(하단 계층) 등을 제공하고 있다. 아마존 Q 디벨로퍼는 생성형 AI를 사용해 안전하고 뛰어난 성능의 코드를 추천하는 코딩 지원 도구다.

가드레일 포 아마존 베드록은 고객사의 AI 정책에 따라 유해한 콘텐츠를 필터링하는 임계값을 구성해 모델 오남용을 방지한다. 고객사가 베드록에 있는 모든 파운데이션 모델을 커스터마이징해 사용할 수 있는데 이 과정에서 발생할 수 있는 문제를 최소화하는 조치다. 프론트 단에서 악의적인 내용이 존재했는지, 아웃풋에 의도하지 않거나 노출되면 안되는 결과가 있는지 확인할 수 있다.

나이트로 시스템은 인스턴스 하드웨어와 펌웨어를 지속적으로 모니터링하고 보호, 검증해 강화된 보안 환경을 제공한다. 특히, 클라우드 사용자들은 내부 정보를 인프라 운영사들이 접근하는 것에 대해 우려하는데 AWS는 나이트로 시스템을 관리자 인터페이스 없이 하드웨어로만 구성한 '잠금형 보안 모델'로 만들었다. 이에 따라 관리자의 액세스를 금지해 인적 오류와 변조가 발생할 가능성을 제거했다.

이 외에도 생성형 AI는 사전예방과 사후 대응, 업무 자동화, 보안 전문가 역량 강화 등을 제공해 보안팀의 역량을 끌어올려 한정된 시간 안에 보다 많은 일을 할 수 있도록 도울 수 있다.

신은수 솔루션즈아키텍트는 "보안팀은 데이터를 분석하고 데이터에 위협이 있는지를 찾아내야 한다. 보안 관련 알람이 오면 어떻게 조치할지 결정하는 등 일이 많은데 전 인원이 모든 걸 알고 있지 않아 메뉴얼을 따라야 한다"며 "생성형 AI는 메뉴얼을 기반으로 설명해줄 수 있고 분석하는 가이드도 제공해줄 수 있다. 심지어 쿼리가 아닌 자연어로 처리해도 작업을 수행할 수도 있다"고 말했다.

다만, 생성형 AI 보안에 대한 투자는 매우 저조하다. 가트너의 조사에 따르면 아시아태평양 지역 최종 사용자의 보안 지출은 올해 280억6000만달러로 추정되며 2028년까지 446억달러로 늘어날 것으로 전망된다. 반면, 올해 AWS가 IBM과 함께 진행한 연구에서는 기업 중 24%만 생성형 AI 프로젝트의 보안을 확보했거나 관련 노력을 하는 중으로 드러났다.

그는 "기업들이 생성형 AI에 관심이 많고, AI 기반 서비스를 구축하고 있지만, 보안에 대한 투자는 아직까지 비율이 낮다"고 말했다.김영욱기자 wook95@dt.co.kr