거세진 AI 사이버 위협에...정부, 국가안보실 중심 민관 대응체계 마련

과기정통부, 민간 정보보호추진계획 발표

배경훈 부총리 겸 과학기술정보통신부 장관이 29일 오전 서울 종로구 정부서울청사 본관 영상회의실에서 ‘제9회 과학기술관계장관회의’ 를 주재하고 있다. 왼쪽부터 구윤철 부총리 겸 재정경제부 장관, 배경훈 부총리, 김정관 산업통상부 장관. <사진=과기정통부>

인공지능(AI)을 악용한 해커 수준의 사이버 위협이 급증하면서 정부가 국가안보실을 중심으로 범정부 거버넌스와 민관 협력체계를 아우르는 공동 대응 전선을 구축한다. 또 그동안 여기저기 흩어져 있던 AI 관련 보안 약점(취약점)과 해결책(패치) 정보를 한곳으로 모아 일원화된 시스템으로 관리하기로 했다. 이렇게 정리된 긴급 보안 정보는 민간 기업과 정부 부처, 군에 실시간으로 신속하게 공유되며, 자체적인 대응이 어려운 기업과 부처에는 정부가 직접 맞춤형 기술 지원에 나설 방침이다.

과학기술정보통신부는 29일 제9회 과학기술관계장관회의에서 이러한 내용을 담은 ‘AI 기반 사이버위협에 대응하기 위한 민간 정보보호 추진계획(안)’을 발표했다.

우선 정부는 청와대 국가안보실을 중심으로 AI 취약점 공개 및 패치, 위협상황 등을 신속하게 공유·전파하고, 침해사고(정황) 발생시 합동대응이 가능한 긴급체계를 구축하는 한편, 과기정통부 내에는 총괄상황반을, 민간 분야는 소관부처별 상황반을 가동하기로 했다.

이는 최근 미국 빅테크 기업들이 고성능 AI를 활용해 사이버 방어 역량을 끌어올리는 추세를 반영한 조치다. 실제로 최근 앤스로픽이 제한된 기업·기관들과 진행한 보안 협의체 ‘글래스윙 프로젝트’의 첫 보고서에 따르면 AI를 활용해 주요 소프트웨어와 오픈소스에서 무려 1만6000건이 넘는 무더기 취약점을 찾아내 학계와 산업계에 큰 화두를 던졌다.

이에 정부는 보고서 발표 직후인 지난 24일 공개된 취약점 중 국내에 영향을 미칠 수 있는 요소를 즉각 분석해 보안 공지를 내고 민·관·군에 관련 정보를 긴급 공유했다. 이어 25일에는 전국 약 2만8000개사의 최고정보보호책임자(CISO)에게 보안 대비태세를 대폭 강화해 줄 것을 요청했다.

이와 함께 정부는 한국인터넷진흥원(KISA)에 ‘취약점 관리센터’를 설치해 그동안 분산돼 있던 취약점과 패치 관리 업무를 하나로 통합하고, 관계부처와 기업들에 대한 밀착 기술 지원에 나선다.

구체적으로는 KISA의 취약점 정보포털(KNVD)을 중심으로 국내외에서 발견되는 보안 허점을 신고 받거나 공개된 정보를 광범위하게 수집·분석할 계획이다. 이렇게 분석된 핵심 정보는 보안 공지를 시작으로 기업 CISO, 민간 협력채널 및 부처별 상황반과 관군 전체에 실시간으로 전파된다. 정부는 단순히 정보를 전달하는 데 그치지 않고, 위험 요소를 즉각 해결하도록 권고하는 촘촘한 ‘긴급 대응 네트워크’를 가동해 사이버 공백을 메우겠다는 구상이다.

또한 과기정통부가 국제협력을 통해 확보한 최신·고성능 AI 모델을 취약점 관리 및 패치 업무, 기업 지원 전반에 시범 적용하는 방안도 추진한다. 일례로 오픈소스 등에서 보안 취약점을 자동으로 수집하고 검증한 뒤 이를 스스로 분석·분류해 해결책까지 만들어내는 전 과정을 AI가 주도한다.

기업 지원 방식도 한층 스마트해진다. 개인정보가 포함되지 않은 소프트웨어의 소스코드를 대상으로 수요 기업의 동의를 받아 AI가 취약점을 먼저 찾아낸다. 이후 조치 방법까지 AI가 도출해 안내하면, 기업은 이를 바탕으로 신속하게 보안 구멍을 메우는 구조다. 정부는 이처럼 방어 체계 전반에 고성능 AI를 이식해 사이버 위협 대응 속도를 획기적으로 끌어올릴 계획이다.

특히 정부는 AI 보안 위협 발생 시 피해 파급력이 큰 주요 기업을 대상으로 보안 대비태세를 대폭 강화한다. 정보통신기반시설, ISMS(정보보호 관리체계) 의무 기업을 비롯해 금융, 의료, 에너지 분야의 대형 기업, 상급종합병원, 주요 사립대 등 약 1200개사(중복 포함)가 대상이다. 이들 기업은 각 소관부처의 주관 아래 자산관리, 취약점 점검, 패치 대응 등을 자체적으로 추진해야 하며, 정부는 분야별로 이행 상황을 점검한다는 계획이다.

상대적으로 보안 역량이 취약한 중소기업에는 보안의 출발점인 자산 관리체계 확립을 지원한다. 기업 스스로 IT 자산을 식별하고 현재의 보안 수준을 진단할 수 있는 웹 도구를 배포하며, 이를 기반으로 맞춤형 보안 투자 가이드와 조치 실행 방법을 추천한다. 또한 AI가 악용하기 쉬운 오픈소스 취약점을 먼저 찾아내 조치할 수 있도록 ‘소프트웨어 구성명세서 생성·분석’ 기술을 지원한다.

아울러 해커의 공격 통로가 될 수 있는 요소를 점검하는 ‘공격 표면점검’과 전문가 상담을 제공해 사이버 공격 공격 범위를 최소화하는 한편, 과기정통부가 접근권을 확보한 고성능 AI 모델을 활용해 중소기업 제품(소프트웨어)의 취약점을 점검해 주는 등 AI 위협에 쉽게 흔들리지 않는 디지털 산업 환경을 조성해 나갈 방침이다.

AI 기반의 사이버 위협에 한발 앞서 대응하기 위한 실시간 감시 체계도 가동한다. 정부는 하루 약 3억5000만건에 달하는 전 세계 도메인을 상시 모니터링해 AI를 악용한 악성 행위나 공격용 도메인이 생성되는 즉시 탐지하고 차단할 예정이다. 만약 AI 서비스와 관련된 침해사고나 의심 정황이 발생하면 ‘침해사고조사심의위원회’를 즉각 가동해 신속한 조사와 함께 피해 확산 방지에 총력을 기울이기로 했다.

이와 함께 글로벌 수준의 AI 보안 생태계를 구축하기 위해 국제 협력을 본격화한다. 오픈AI의 정부·기관용 신뢰 기반 접근 프로그램(GTAC) 확보를 시작으로, 글로벌 빅테크 기업들과의 AI 보안 프로젝트 참여 및 정보 획득을 위한 협력을 지속한다. 또한 우방국의 사이버 보안 기관들과 AI 기반 위협 대응 및 정보 공유를 위한 공조도 강화한다.

사이버 보안에 대한 국민적 경각심을 높이고 현장 실행력을 더하기 위한 홍보와 행동 요령 전파도 추진한다. 정부는 취약점 발견부터 패치 적용까지 전 단계에 걸쳐 제조사, 기업·기관, 일반 국민 등 주체별로 지켜야 할 맞춤형 대응 요령을 마련해 보급한다. 특히 기업들의 보안 투자 확대를 유도하기 위해 주요 산업군별 최고경영자(CEO) 등을 대상으로 정부 행동 요령 기반의 릴레이 간담회를 개최하는 방안도 검토 중이다.

아울러 정부는 향후 고성능 AI가 일상화되고 해커의 ‘공격 무기’로 진화하는 최악의 상황에 대비해 내년부터 국내 정보보호 체계를 외산 기술이 아닌 ‘독자적인 AI 기술 기반’으로 대전환하기로 했다. 이를 위해 ‘AI 보안 주권’을 확립할 수 있는 다양한 대형 프로젝트를 기획하고 실행에 옮기겠다는 계획이다.

배경훈 부총리 겸 과기정통부 장관은 “최고 수준의 해커와 견줄 정도로 사이버보안 분야의 AI 발전 속도가 빠른 상황으로, 한국도 AI 시대에 걸맞은 보안 체계와 글로벌 협력을 갖추지 못한다면 AI 3대 강국 도약도 흔들릴 수밖에 없다”면서 “이번 대책을 통해 AI 발 대규모 취약점 공개에 대응하기 위한 긴급체계를 마련하고, 우리의 기술과 모델을 기반으로 한 AI 보안주권 확립도 속도감 있게 추진해 나갈 것”이라고 말했다.