“지금까지 보안은 기본적으로 공격자가 유리한 게임이었다. 하지만 방어자가 인공지능(AI) 덕에 방대한 공격 코드를 지치지 않고 훑을 수 있게 됐다. 방어자가 처음으로 공격자와 비슷한 규모의 능력을 갖추기 시작했다. 1~2년 후에는 코드를 가진 방어자가 AI를 이용해 공격 시나리오를 시험해 취약점을 미리 고칠 수 있을 것이다.”
시스템 보안과 AI 기반 사이버 보안 분야의 세계적 권위자인 김태수 마이크로소프트(MS) 부사장은 8월 7일 인터뷰에서 AI가 변화시킬 보안 패러다임에 대해 “공격과 방어가 기계 속도로 빠르게 움직이는 시대가 열렸다”며 이렇게 말했다. 미국 정부는 최근 앤트로픽 AI 모델 ‘미토스(Mythos)’의 해외 접근에 일시적으로 빗장을 걸었다. AI가 인간보다 빠르게 소프트웨어 취약점을 찾아내 사이버 공격에 악용될 수 있다는 우려에서다. AI는 사이버 보안에서 ‘양날의 검’이다. 해커는 AI를 이용해 상대의 취약점을 더 빠르게 찾아 공격을 고도화할 수 있고, 방어자는 같은 기술을 활용해 공격 전에 취약점을 발견해 방어할 수 있다.
앤트로픽 미토스가 해킹에 악용될 수 있다는 이유로 미국이 한때 해외 접근을 막았다.
“공격자는 어떤 방식으로든 AI 역량을 확보하는 반면, 방어자만 접근이 제한되면 오히려 공격자에게 유리한 비대칭이 생길 수 있다. 그래서 공개를 무조건 막기보다 검증된 방어 목적의 활용은 폭넓게 허용하되, 위험한 기능은 통제하는 정교한 설계가 필요하다. 미국은 중국보다 훨씬 폐쇄적인 경향이 강하다. 안정적으로 압도적인 우위를 점한 기업이나 국가가 없는 상황에서 미국이 기술을 계속 닫아두고 중국 기술만 개방된다면, 장기적으로는 중국 기술이 글로벌 연구와 개발의 기준점이 될 가능성이 있다. 한국 기업도 단순히 AI 모델에 대한 접근 권한을 받느냐 못 받느냐에 머물러서는 경쟁력을 확보하기 어렵다. 검증된 방어 목적의 활용 역량과 글로벌 협력, 자체 평가 능력, 산업별 보안 운영 경험을 함께 갖춘다면 충분히 경쟁 우위를 만들 수 있다. 결국 중요한 것은 핵심 모델을 보유했느냐가 아니라, 강력한 AI를 안전하게 활용할 수 있는 운영체제와 거버넌스를 갖추고 있느냐다.”
미토스 사태에 어떻게 대응해야 하나.
“사람이 읽지 못하는 코드가 가장 위험한 코드다. 기간망·금융·공공 시스템에는 개발자가 떠났거나 문서가 부족한 오래된(레거시) 코드가 많다. AI는 이런 ‘읽을 사람이 사라진 코드’를 분석해 사라져가는 전문성을 복원할 수 있다. 한국이 우선할 것은 레거시 코드를 중심으로 한 AI 기반 사전 감시다. 공격자가 AI로 시스템을 분석하기 전에 방어자가 먼저 소스 코드와 운영 환경에 AI를 적용해 정보 우위를 활용해야 한다. 이어 취약점 발견부터 검증·패치까지 이어지는 폐쇄형 루프를 구축하고, AI가 찾아낸 수많은 취약점 가운데 무엇에 먼저 대응할지 판단하는 우선순위 체계도 갖춰야 한다. 결국 AI 기반 사전 감사에서 검증·패치·우선순위화까지 이어지는 통합 방어 체계가 필요하다.”
MS도 취약점 탐지 시스템 'M-DASH'를 선보였다. 차별점은.
“M-DASH는 하나의 모델에 판단을 맡기는 방식이 아니라, 여러 모델과 100개 이상의 특화 에이전트가 역할을 나눠 취약점을 발견하고 검증하며 재현 가능성까지 확인하는 구조다. 이를 통해 단일 모델의 한계를 보완하고 더 복잡한 구조적 취약점까지 찾아낼 수 있다. 앞으로 AI 보안 경쟁은 가장 큰 모델을 확보하는 것보다 각 모델의 강점을 조합하고 실제 문제 해결에 맞는 시스템을 설계하느냐가 중요해질 것이다. 한국 보안 기업도 자체 모델 개발뿐 아니라 다양한 AI 모델과 에이전트를 활용해 효율적인 보안 시스템을 설계하는 역량을 키워야 한다.”
"한국의 AI 인재가 국내에서도 지속적으로 성장하고 실제 산업 문제를 해결하는 데 활용될 수 있는 환경을 만들어야 한다. 최신 AI와 보안 기술을 빠르게 받아들이고 실제 현장에 적용할 수 있는 기업과 시장이 형성돼야 한다."
한국 정부는 독자 AI 파운데이션 모델 개발을 추진하고 있다.
“독자 모델 개발의 필요성에는 공감한다. 다만 보안 관점에서 보면, 모델을 하나 만든다고 끝나는 문제는 아니다. 공격자가 AI로 우리 시스템을 분석하기 전에 방어자가 먼저 AI를 활용해 취약점을 찾고, 검증하고, 조치할 수 있는 방어 체계를 갖추는 것이 더 중요하다. AI를 활용한 방어 체계를 구축하는 것이 사이버 공격에 대응하는 가장 현실적인 대응 방향이라고 생각한다.”
한국 정부는 세계 AI 3위를 목표로 한다.
“한국 출신 보안 인재의 역량은 세계 어느 곳과 비교해도 뒤처지지 않는다고 생각한다. 실제로 글로벌 무대에서 활약하며 인정받는 한국계 보안 전문가도 많다. 다만 현실적으로는 국내보다 더 나은 보상과 연구 환경을 제공하는 해외, 특히 AI 프런티어 모델이 개발되고 있는 미국으로 인재가 이동하는 경우가 많다. AI와 보안을 함께 연구하고 발전시키기에는 이런 환경적 차이가 있다.
따라서 한국의 AI 경쟁력을 평가할 때 단순히 어떤 모델을 개발했는지, 혹은 국가별 순위가 몇 위인지에만 집중해서는 안 된다고 생각한다. 중요한 것은 AI와 보안을 함께 발전시킬 수 있는 연구·산업 생태계를 얼마나 빠르게 성장시키고 있느냐다. 정부 차원의 드라이브도 필요하지만, 궁극적으로는 보안 산업 자체가 더 크게 성장해야 한다. 최신 보안 기술을 빠르게 도입하고 실제 산업 현장에서 활용할 수 있는 기업과 시장이 형성돼야 우수한 인재가 국내에 머물고, 연구도 더 복잡하고 중요한 문제를 해결하는 방향으로 확장될 수 있다.”
한국이 AI 경쟁력을 높이려면 어떠한 정책적 노력이 필요하나.
“한국의 AI 인재가 국내에서도 지속적으로 성장하고 실제 산업 문제를 해결하는 데 활용될 수 있는 환경을 만들어야 한다. 최신 AI와 보안 기술을 빠르게 받아들이고 실제 현장에 적용할 수 있는 기업과 시장이 형성돼야 한다. 공공과 민간이 새로운 보안 기술을 검증하고 도입할 수 있는 수요를 만들고, 보안 기업과 연구자가 실제 문제를 해결할 기회를 확대하는 정책이 중요하다고 본다. 또한 인재가 자유롭게 연구하고 실험할 수 있는 환경을 만드는 것도 중요하다. 기업이나 학계 어디에 있든 실제 시스템을 다루고새로운 기술을 검증할 수 있어야 역량이 축적된다. 결국 정책의 방향은 인재가 성장하고, 산업이 그 성과를 빠르게 흡수하는 선순환 구조를 만드는 데 맞춰져야 한다고 생각한다.”