[현장] 신은수 AWS 수석 "AI 보안 위협 시대…해법은 '시프트 레프트'와 '문화' 혁신"

고성능 AI로 급증한 보안 위협…AWS, '자동화 기술'로 선제 대응
개발 조직으로 이동한 보안 주체…결국 핵심은 전사적인 '문화 혁신'

신은수 AWS 코리아 보안 전문 수석 솔루션즈 아키텍트는 1일 AWS 코리아 오피스에서 열린 'AWS Security 101 기자간담회'에서 'AI·클라우드 환경의 최신 보안 트렌드와 AWS의 보안 접근 방식'을 주제로 발표하고 있다. [출처=이수진 기자]

아마존웹서비스(AWS)가 고성능 인공지능(AI) 등장에 따른 보안 위협에 대응하기 위해, 개발 초기 단계부터 보안을 통합하는 '시프트 레프트(Shift Left)' 전략과 전사적 보안 문화 정착을 강조했다.

신은수 AWS 코리아 보안 전문 수석 솔루션즈 아키텍트는 1일 AWS 코리아 오피스에서 열린 'AWS Security 101 기자간담회'에서 'AI·클라우드 환경의 최신 보안 트렌드와 AWS의 보안 접근 방식'을 주제로 발표했다.

그는 고성능 AI의 등장으로 취약점 발견 및 익스플로잇(Exploit) 개발 시간이 과거 수년, 수일에서 현저하게 단축됐다고 진단했다. 이로 인해 위협의 규모와 속도, 접근성이 확대됐으며 기업들은 취약점 대응 과부하와 기존 리스크 관리 체계의 무력화라는 어려움에 직면했다고 설명했다.

AWS는 이러한 위협에 대응하고자 LLM의 확률론적 답변 한계를 보완할 '자동화된 추론(Automated Reasoning)' 기술을 IAM 액세스 애널라이저 및 아마존 베드락 가드레일 등에 적용 중이다. 또 허니팟(Honeypot) 체계인 '매드팟(Madpot)', 거대 그래프 신경망 모델 기반의 '미쓰라(Mithra)', 네트워크 보호 서비스인 '소나리스(Sonaris)' 등을 통해 매뉴얼 개입 없는 액티브 방어(Active Defense)를 수행하고 있다.

또 위협 모델링, 설계 및 코드 리뷰, 침투 테스트를 자동화해 제공하는 'AWS 시큐리티 에이전트(Security Agent)'와 코드 취약점을 분석하고 교정하는 '콘티늄(Continuum)' 서비스를 소개했다.

◆"보안팀 역할 축소 아냐…개발 조직의 보안 역량 키우는 전파자 돼야"

(왼쪽부터) 신은수 AWS 코리아 보안 전문 수석 솔루션즈 아키텍트, 이진욱 LG CNS RED팀 팀장. [출처=이수진 기자]

이날 현장에서는 자동화된 AI 보안 도구 도입에 따른 실무적 차이와 조직 변화에 대한 논의가 이어졌다. 타사 플랫폼과 차별점에 대해 신 수석은 "AWS 시큐리티 에이전트와 콘티늄은 개발 라이프사이클 전반에 걸쳐 취약점 검색, 검증, 교정은 물론 설계 리뷰와 자동화된 침투 테스트까지 다양한 기능을 복합적으로 제공한다"고 설명했다.

AWS 솔루션 도입 사례로 참석한 이진욱 LG CNS 레드팀 팀장은 "과거 검토한 제품들은 오탐율이 높아 만족스럽지 못했으나, AWS 시큐리티 에이전트는 오탐율이 낮고 비용이 합리적이며 기존 AWS 서비스와 구동 시 편리성이 컸다"고 밝혔다. 이어 "자동화된 도구 특성상 내부적으로 설정할 옵션이 적어 화이트 해커 개인 역량에 따른 결과 차이는 크지 않았다"고 덧붙였다.

개발팀으로 보안의 주체가 이동하는 '시프트 레프트' 트렌드 속에서 기존 보안팀의 역할 변화도 화두에 올랐다. 신 수석은 보안 솔루션을 보안팀이 전담 운영하는 방식으로는 시프트 레프트의 효과가 반감된다고 지적했다. 그는 "코드를 생성하고 개선점을 찾는 주체인 개발자가 보안 도구를 직접 운영해야 한다"며 "보안팀이 사라지는 것이 아니라, 개발자 등 비보안 직군이 보안 역량을 키울 수 있도록 조직 전반에 보안을 전파하는 역할로 진화해야 한다"고 강조했다.

이진욱 팀장 역시 레드팀이나 화이트 해커의 조직 축소 우려를 일축했다. 그는 "블랙박스 형태의 고도화된 침투 테스트를 수행하는 전문 해커에 대한 수요와, AI가 찾아낸 취약점을 해석해 개발자에게 전달하는 역할을 할 해커로 나뉘어 그 수요는 더욱 늘어날 것"이라고 전망했다.

기업들이 AI 특화 보안 솔루션을 도입할 때 고려할 기준으로 신 수석은 다양한 개발 환경 및 레거시 시스템과의 유기적 통합성, 보안 프로바이더의 공급망 보안 역량을 핵심으로 꼽았다.

끝으로 신 수석은 "고성능 AI 위협은 이미 가까이 와 있다"며 "AI에 특화된 보안 솔루션 도입도 중요하지만, 솔루션을 잘 활용할 수 있도록 조직 전체의 문화를 변화시키는 것이 무엇보다 중요하다"고 강조했다.