앤트로픽이 AI 기반 취약점 탐지 프로그램 '프로젝트 글래스윙'에 전력, 수도, 통신 등 150개 핵심 인프라 기업을 추가했습니다. 이번 확대로 더 많은 보안 결함을 발견할 수 있을 것으로 기대되지만, 발견된 취약점을 공급업체들이 적시에 패치할 수 있을지에 대한 '병목 현상'이 새로운 과제로 떠오르고 있습니다. 전문가들은 AI가 취약점 '발견'의 문제를 넘어 '대응 및 해결'의 중요성을 부각시키고 있으며, 자동화된 패치에 대한 신뢰 확보가 관건이라고 지적합니다.
영국 국방·안보 싱크탱크인 왕립합동군사연구소(RUSI)의 보고서는 북한과 이란이 AI 기반 확산금융(PF)을 이용해 제재 회피를 진행하고 있다고 경고한다. 보고서에 따르면, AI는 위조 문서 생성 및 신원 사기 등 제재 회피 기법을 더 빠르게, 효과적으로 수행할 수 있다. 아론 아널드 연구원은 이메일 작성, 가짜 프로필 생성, 피싱 공격 등 개별 업무에 AI를 활용하는 'AI 지원형'과 전체 시스템을 조율하는 'AI 기반형' 두 가지 형태의 제재 회피 활동이 존재한다고 설명한다. 고기아 수석 애널리스트는 이와 관련해, 기업 IT 관리자들은 방어형 AI 도입, 행위 기반 분석 활용, API 사용량 감소를 통한 '서킷 브레이커' 적용 등 새로운 보안 체계 구축이 필요하다고 강조한다. 아론 아널드는 이에 대해 범죄자들이 규제 체계에 맞춰 움직이는 것이 아니라 원하는 결과를 달성하기 위한 것으로 기업의 신뢰 아키텍처 문제로 접근해야 한다고 지적한다.
한 논문에서 연구진은 기업이 기반 모델 자체의 견고성을 높이는 방식만으로는 AI 에이전트를 안전하게 보호할 수 없으며, 이를 둘러싼 시스템 차원에서 보안 통제가 필요하다고 주장했습니다. 논문은 기업 인프라 내부에서 동작하는 본질적으로 신뢰할 수 없는 시스템으로 AI 에이전트를 간주해야 한다는 점을 강조하며, 운영체제(OS)와 같은 원칙을 모델 내부보다 시스템 수준에서 정의하고 강제해야 한다고 제안했습니다. 연구진은 11건의 공격 사례를 분석해 보안 원칙 위반 현상을 확인했으며, 이를 입증하기 위해 세 가지 보안 메커니즘을 제안했습니다. 이들은 아직 업계가 해결하지 못한 연구 과제와 연결돼 있다고 밝혔습니다.
앤트로픽은 AI 모델을 활용한 프로젝트 글래스윙을 통해 약 1만 건의 소프트웨어 취약점을 발견했지만, 실제 패치 적용이 병목 현상을 일으키고 있다고 밝혔다. AI는 취약점 탐지 능력을 크게 향상시켰으나, 오픈소스 유지보수자들의 인력 및 역량 부족으로 인해 발견된 취약점에 대한 패치 설계 및 배포가 지연되고 있다. 이는 사이버 보안의 새로운 과제로, 취약점 탐지보다 대응 속도가 더 중요해지고 있음을 시사한다.
오픈AI가 한국 시장에 사이버 보안 프로그램 '데이브레이크'를 도입하고 정부 및 공공기관의 AI 보안 역량 강화를 지원한다. 또한, 한국수자원공사와의 협력을 통해 수재해 대응 및 기후변화 적응 등 공공 서비스에 AI 기술을 적용할 계획이다. 오픈AI는 한국 내 AI 활용 사례로 챗GPT의 높은 사용자 수와 코덱스의 급증하는 사용량을 언급하며, 특히 비(非)코딩 업무에서의 활용도를 강조했다.