[IT 동아] [주간보안동향] 보안 전용 AI 모델 나온다…SKT·네이버 격돌 外

[IT동아 김예지 기자] 사이버 위협이 일상이 된 시대, 보안은 더 이상 특정 기업만의 문제가 아니라 개인과 사회 전체의 리스크로 확산되고 있습니다. 한 주간 국내외에서 발생한 주요 보안 이슈와 정부 정책, 기업 소식을 살펴봅니다.

과학기술정보통신부와 한국인터넷진흥원(KISA)이 추진하는 ‘사이버 보안 특화 AI 파운데이션 모델 개발’ 사업 공모에 SKT와 네이버클라우드 컨소시엄이 출사표를 던졌다. 이번 프로젝트는 일반 거대언어모델(LLM)이 보안 전문 용어나 국내 사이버 위협 맥락을 정교하게 이해하는 데 한계가 있다는 지적에 대응해, 정부가 가용 GPU 자원을 투입해 국내 독자 기술 기반의 보안 특화 모델을 확보하기 위해 추진된다.

지난 7월 22일부터 8월 26일까지 진행된 공모 결과, SKT 및 네이버클라우드가 주도하는 총 2개의 컨소시엄이 접수됐다. SKT 컨소시엄에는 ▲주식회사 업스테이지 ▲에스케이쉴더스 주식회사 ▲㈜시큐아이 ▲㈜안랩 ▲㈜이글루코퍼레이션 ▲라온시큐어㈜ ▲주식회사 스마트엠투엠 ▲주식회사 에임인텔리전스 ▲지니언스㈜ ▲㈜파이오링크 ▲한국정보보호산업협회(KISIA) ▲고려대학교 산학협력단 ▲숭실대학교 산학협력단 등 13곳이 참여한다.

네이버클라우드 컨소시엄은 ▲㈜엘지씨엔에스 ▲㈜엘지경영개발원 AI연구원 ▲㈜엘지유플러스 ▲주식회사 로그프레소 ▲주식회사 마크애니 ▲비드래프트 ▲주식회사 샌즈랩 ▲주식회사 스패로우 ▲주식회사 에스투더블유(S2W) ▲주식회사 에이아이스페라 ▲㈜윈스테크넷 ▲㈜이스트시큐리티 ▲㈜지란지교시큐리티 ▲주식회사 테이텀 ▲트릴리온랩스 ▲주식회사 티오리한국 ▲㈜피앤피시큐어 ▲하이퍼엑셀 ▲한국항공우주산업주식회사(KAI) ▲㈜휴네시온 ▲한국수력원자력㈜ ▲한전케이디엔㈜ ▲사단법인 금융보안원 ▲한국과학기술정보연구원(KISTI) ▲고려대학교 산학협력단(디지털포렌식연구실) ▲고려대학교 산학협력단(인공지능 연구실) ▲대구대학교 산학협력단 ▲서울대학교 산학협력단 ▲중앙대학교 산학협력단 ▲포항공과대학교 산학협력단 ▲한국과학기술원(KAIST) ▲한국에너지공과대학교(KENTECH) 등 32곳이 참여한다.

이통3사 중 KT가 빠진 가운데, 독파모 사업에서 맞붙었던 기업들은 각각 SKT-업스테이지 연합과 네이버클라우드-LG AI연구원 진영으로 맞붙었다.

과기정통부는 오는 9월 초 결과를 발표한다. 선정된 팀은 엔비디아 B200 GPU 256장(32노드)을 총 10개월간 지원받는다. 사업 착수 5개월 차에 중간 성과 모델을 검증해 지속 지원 여부를 결정하며, 본 사업의 성과물은 오픈소스로 공개돼 국내 보안 생태계 전반으로 확산할 방침이다. 아울러 정부는 2027년부터 후속 고도화 지원을 검토할 예정이다. 이번 프로젝트를 통해 국내 보안 기업들이 인프라 부담을 낮추고, 고성능 AI 보안 솔루션을 개발할 수 있는 기술적 토대를 마련할지 귀추가 주목된다.

국내 AI 산업계의 난관이었던 AI 학습 데이터 규제가 완화됐다. 개인정보보호위원회는 지난 20일 AI 기술 개발을 위한 개인정보 활용 특례를 골자로 한 개인정보 보호법 개정안이 국회 본회의를 통과했다고 밝혔다. 이번 개정안으로 적법하게 수집한 개인정보를 AI 기술 개발에 활용할 수 있게 된다.

그동안 적법하게 수집된 데이터라 할지라도 당초 목적 외로 활용할 경우, 별도 동의를 받거나 법적 근거가 있어야 했다. 가명·익명 정보만으로는 AI 개발 자체가 어려웠다는 지적도 있었다. 보이스피싱 예방 AI나 자율주행로봇 등 일부 혁신 서비스는 규제 샌드박스를 통해 최대 4년간 특례를 제공해 왔다.

이번 개정안 통과 이후에 기업은 ▲가명·익명 처리로는 AI 개발이 어렵고 ▲공익적, 사회적 필요성이 인정되며 ▲강화된 안전조치와 개인정보위 심의·의결을 거치는 3가지 조건을 충족할 경우, 적법하게 수집한 개인정보를 AI 기술 개발에 활용할 수 있게 된다.

다만 무분별한 활용을 막기 위해 민감정보나 고유식별정보 처리 시 사전 위험요인을 평가하고, 개선방안을 마련해야 한다. 특례 적용 기업은 개인정보 처리방침에 관련 내용을 공개해야 하며, 개인정보위는 운영 현황을 홈페이지에 투명하게 공시할 방침이다. 한편, 개인정보위는 기존에 심의를 통과한 사례와 실질적으로 동일하거나 유사한 AI 서비스는 심의 절차를 15일 내로 간소화해 신속한 사업 추진을 돕는다고 밝혔다.

이번 개정안은 공포 후 6개월 뒤 시행될 예정이다. 국내 AI 생태계에 희소식이나, 최근 잇따른 개인정보 유출 사고를 고려할 때 심의 절차가 간소화 되더라도 안전조치를 철저히 점검하고, 사후 해킹·유출 사고 발생 시에 대비해 법적 보완책이 한층 촘촘히 뒷받침되어야 할 것이다.

개인정보위와 행정안전부가 25일 국무회의에서 31개 중앙행정기관에 전담 인력 54명(증원 39명, 재배치 15명)을 확충하는 수시직제 개정안이 의결됐다고 밝혔다. 이번 조치는 공공기관을 노린 해킹과 개인정보 유출 사고가 잇따른 데 따른 후속책이다. 지난 2월 개인정보위가 653개 공공기관을 전수조사한 결과, 기관당 개인정보보호 담당 인력은 평균 1.9명에 불과했다. 개인정보보호만 맡는 전담 인력은 기관당 0.7명 수준에 그쳤다.

개인정보위는 지난 6월 다수부처 수시직제 요구서를 제출했고, 심의를 거쳐 국무회의에서 증원이 최종 확정됐다. 정부 차원에서 개인정보 보호 전담인력을 늘린 건 2015년 이후 11년 만이며, 2020년 개인정보위가 출범한 후 범정부 차원의 첫 인력 확충이다. 이번 개정으로 중앙부처 개인정보보호 전담 인력은 평균 1.1명에서 2.1명으로, 약 2배 늘었다.

위험도가 높은 기관을 중심으로 인력이 배치된다. 대규모 개인정보를 다루거나 민감정보 비중이 큰 행정안전부, 국토교통부, 법무부, 경찰청, 질병관리청 등에 인력이 집중적으로 보강됐다. 재외동포청, 국가유산청 등 그동안 전담인력이 전무했던 14개 기관에도 처음 인력을 배치했다. 개인정보위는 지자체, 공공기관, 교육청 등 다른 공공부문으로도 인력 확충을 확대하고, 처우 개선과 실태점검을 추진할 계획이라 밝혔다.

LG유플러스는 글로벌 버그바운티(Bug Bounty) 플랫폼 해커원(HackerOne)과 손잡고 24일부터 전 세계 화이트 해커를 대상으로 한 보안 취약점 점검을 시작했다. 국내 통신사가 글로벌 버그바운티 플랫폼과 정식 파트너십을 맺은 건 이번이 처음으로, 모바일, 인터넷, 기업서비스 등 LG유플러스 전 서비스 영역이 대상이다.

버그바운티는 기업 서비스나 IT 인프라의 보안 취약점을 찾아낸 화이트 해커에게 포상금을 주는 제도다. 최근 통신 서비스가 로밍, 클라우드, AI 등 해외 인프라와 만나는 영역이 늘어나면서 사이버 공격 표면 역시 국경을 넘어섰다. 이에 대응해 LG유플러스는 2024년 10월부터 한국인터넷진흥원(KISA)과 운영해 온 국내 버그바운티를 글로벌로 확장한 셈이다.

이는 신원 확인과 역량 검증을 통과한 숙련된 화이트해커만 프라이빗하게 참여하는 방식으로 운영된다. 해커원은 전 세계 240만여 명의 화이트해커가 활동하는 세계 최대 버그바운티 플랫폼으로, 미국 국방부 및 글로벌 빅테크와 협력해왔다. 홍관희 LG유플러스 정보보안센터장(CISO)은 “통신 서비스가 해외 인프라와 맞닿는 영역이 늘어나는 만큼, 미처 발견하지 못한 취약점까지 선제적으로 찾아내 조치하는 것이 목표”라고 말했다.

글로벌 보안 기업 포티넷이 AI 보안 스타트업 버추 AI(Virtue AI)를 인수했다고 20일 밝혔다. 이번 인수로 포티넷은 AI 런타임 보호, 자동화된 AI 검증, AI 에이전트 보안 기능을 자사 포트폴리오에 추가하게 됐다.

기업들의 AI 도입이 본격화되면서 안전한 운영을 담보하는 솔루션 수요가 급증하고 있다. 포티넷은 올해 출시한 포티AI게이트(FortiAIGate)를 통해 프롬프트 인젝션, 데이터 유출, 모델 포이즈닝 등 AI 특화 위협에 대응해왔다. 여기에 이번 버추 AI 인수로 AI 모델 및 애플리케이션, 에이전트의 개발 단계부터 실제 운영 단계까지 보안 범위를 넓혔다.

50개 이상의 가상 환경과 14개 고위험 분야에서 AI 에이전트의 취약점을 사전 검증하는 레드티밍 기능, 악성 명령 실행 차단, 모델이 업데이트되거나 정책 변경 시 1000개 항목을 자동 점검하는 지속 검증 기능이 탑재된다. 이를 통해 텍스트뿐만 아니라 이미지·영상 내 민감정보 노출이나 AI 탈옥 시도, 취약한 코드 유출을 차단한다. 켄 지 포티넷 CEO는 “버추 AI의 기술로 고객들이 AI 시스템을 전 주기에 걸쳐 안전하게 관리하면서도 기업 규모에 맞게 운영할 수 있도록 지원하겠다”고 밝혔다.

IT동아 김예지 기자 (yj@itdonga.com)