앤트로픽(Anthropic)의 AI 에이전트 미토스와 프로젝트 글래스윙으로 AI 기반 사이버 공격 가능성이 현실화하는 가운데, 한국의 경직된 보안 거버넌스 구조가 이에 대응하기 어렵다는 전문가 경고가 나왔다. 고려대학교 정보보호대학원 김승주 교수는 6월 18일 서울 잠실 롯데호텔에서 열린 사이버보안 기술 전략 컨퍼런스 기조강연에서 “AI를 이용한 해킹 속도가 방어 측보다 압도적으로 빠른 시간 비대칭성이 가장 치명적인 문제”라며 AI로 방어하는 체계 없이는 기업과 정부 모두 심각한 위협에 노출된다고 강조했다.
김 교수는 한국의 보안 거버넌스 구조적 문제를 두 가지로 짚었다. 첫째, 민간 기업에서는 보안 담당자가 새로운 솔루션 도입을 위해 임원 보고·이사회 승인 등 복잡한 내부 절차를 거쳐야 해 신속한 대응이 어렵다. 둘째, 국가 차원에서는 국가정보원이 사이버 공간에서 데이터 중요도에 무관하게 과도한 통제권을 행사해 현장의 자율적 의사결정을 저해한다는 지적이다. 그는 “보안성 검토가 매뉴얼화되고 불투명해 부처가 AI 도구를 도입하고 싶어도 예산 확보부터 국정원 검증까지 복잡한 인증 과정을 거쳐야 한다”고 설명했다. AI 에이전트가 사용자 PC에서 가져간 정보를 LLM(대규모 언어 모델)의 특성상 어떻게 처리했는지 설명하기 어려워, 기업과 국가 모두 사찰 논란에 휩싸일 수 있다는 우려도 제기했다.
김 교수는 미국의 사례를 대안으로 제시했다. 미국은 기밀 데이터는 NSA, 국방 데이터는 국방부, 나머지는 CISA가 각각 책임지는 방식으로 데이터 중요도에 따라 거버넌스 역할을 명확히 분리한다. 클라우드 보안 인증 체계인 FedRAMP도 데이터 민감도에 따라 등급을 구분하고 있다. 국내에서도 올해 5월 1일 국가 사이버보안 기본지침 개정을 통해 기존 물리적 망분리 조항이 삭제되고 데이터 중요도에 따라 망분리를 선택 적용하도록 바뀌었지만, 생성형 AI를 적극 활용하기에는 여전히 부족하다고 그는 평가했다.
김 교수는 “세계적으로 보안 거버넌스가 데이터 중요도 중심으로 바뀌고 있는데, 영역 중심으로 통제하는 경직된 사고방식은 AI 시대에 큰 위협을 초래할 수 있다”며 데이터 민감도를 기준으로 보안 체계 전반을 재정비해야 한다고 강조했다. AI가 사이버 공격과 방어 모두를 변화시키는 시대에 접어든 만큼, 거버넌스 체계의 유연성과 신속한 의사결정 구조 확보가 국가 사이버 안보의 핵심 과제로 부상하고 있다.
