[지디넷코리아]인공지능(AI) 발전과 맞물려 국내 주요 기업, 조직에서 해킹 사고가 잇따르는 가운데 IT 운영과 보안 대응 자동화 체계를 강화해야 한다는 제언이 나왔다.전통적인 인프라 보안 역량은 높지만 플랫폼 관리와 개발 과정의 자동화는 상대적으로 부족한 만큼 기존 보안 정책 수립 역량을 활용해 인공지능(AI) 시대에 맞는 운영 체계를 구축해야 한다는 분석이다.빈센트 칼데이라 레드햇 아시아태평양(APAC) 최고기술책임자(CTO)는 27일 서울 강남구 웨스틴 서울 파르나스에서 열린 '레드햇 서밋: 커넥트 2026' 현장에서 한국의 보안 환경을 평가하고 대안으로 '정책 기반 자동화'를 제시했다.그는 "한국은 전통적인 인프라 영역에서 강력한 보안 문화를 갖추고 있으며 시스템 설계와 인프라를 검토하는 체계도 잘 마련돼 있다"며 "다만 한국과 비슷한 수준의 인프라를 갖춘 다른 국가들은 자동화를 훨씬 더 적극적으로 도입하고 있는 만큼 플랫폼 관리와 개발 영역에서도 자동화를 확대할 필요가 있다"고 말했다.그러면서 "특히 플랫폼 엔지니어링이 실무 관행으로 충분히 자리 잡지 못했다"며 "기술 자체보다는 조직 문화와 업무 방식 문제가 최근 급증한 보안사고의 원인일 가능성이 있다"고 분석했다.국내 상황에 맞춰 칼데이라 CTO가 제시한 해법은 '정책 기반 자동화(Policy-driven automation)'다. 기존 프로세스 기반 자동화가 사람이 수행하던 업무 절차를 그대로 시스템에 옮기는 방식이라면 정책 기반 자동화는 조직이 준수해야 할 보안·운영 기준을 먼저 정의하고 시스템이 이를 지속적으로 충족하도록 하는 접근법이다.그는 "한국은 정책을 매우 구체적으로 정의할 수 있는 역량을 갖추고 있다"며 "사람의 업무 절차를 그대로 자동화하기보다 정책에 따라 시스템이 작동하도록 만드는 방식이 더 적합할 수 있다"고 설명했다.기존의 엄격한 보안 정책 수립 역량을 자동화 체계 구축에 활용할 수 있다는 의미다. AI 에이전트 운영에서도 이러한 정책 중심 접근이 중요하다고 강조했다. AI가 생성하는 결과를 사람이 일일이 검증하는 방식은 대규모 운영에 한계가 있다는 설명이다.빈센트 칼데이라 CTO는 "AI가 생성하는 모든 결과를 사람이 검증하는 것은 현실적으로 어렵고, AI 시스템을 도입하는 가치도 떨어뜨린다"며 "사람은 AI 시스템의 목표와 행동 범위를 정의하고, 안전장치가 효과적으로 작동하는지 평가하는 역할을 맡아야 한다"고 말했다.이어 "사람이 개별 작업을 승인하는 '휴먼 인 더 루프(Human-in-the-loop)'에서 시스템 전반을 감독하는 '휴먼 온 더 루프(Human-on-the-loop)'로의 전환이 필요하다"고 덧붙였다.빈센트 칼데이라 CTO는 AI를 활용한 사이버 공격이 고도화되는 상황에서 취약점을 발견한 뒤 개별 기업이 패치하는 기존 방식만으로는 대응하기 어렵다고 지적했다. 방대한 오픈소스 라이브러리에서 발생하는 취약점을 공동으로 분석하고, 실제 악용 가능성에 따라 대응 우선순위를 정하는 체계가 필요하다는 설명이다.레드햇은 이를 위해 IBM과 함께 오픈소스 공급망 보안 체계 '라이트웰(Lightwell)'을 추진하고 있다. 여러 기업에서 발견된 취약점 정보를 모아 위험도를 평가하고, 대응 우선순위에 따라 보안 수정 사항을 마련해 오픈소스 커뮤니티와 공유하는 방식이다. 이를 통해 기업별 중복 대응을 줄이고 취약점 해결 속도를 높이는 것이 목표다.레드햇은 라이트웰 참여 기업을 대상으로 잠재적 취약점 정보를 확보한 뒤 관련 오픈소스 라이브러리에 수정 사항을 반영하기까지의 초기 서비스 수준 목표를 14일로 설정했다.칼데이라 CTO는 "14일은 취약점 노출 위험과 실제 대응 가능성 사이의 균형을 고려한 기간"이라고 설명했다.실제로 취약점 패치 속도를 아무리 높이더라도 알려지지 않은 제로데이 공격까지 완전히 막을 수는 없다는 것이 그의 판단이다. 따라서 취약점을 신속하게 수정하는 동시에 공격 가능성을 사전에 줄이고 침해가 발생하더라도 피해가 확산되지 않도록 대비해야 한다고 강조했다.이를 위한 대응 원칙으로 공격 표면 축소, 소프트웨어 공급망 보호, 심층 방어 등 세 가지를 제시했다. 불필요한 소프트웨어 구성요소를 제거해 공격받을 수 있는 범위를 줄이고, 개발·배포 과정에서 소프트웨어의 무결성을 검증하는 방식이다. 또한 개별 시스템과 AI 에이전트의 접근 권한 및 실행 환경을 격리해 침해가 다른 시스템으로 확산되는 것을 막아야 한다고 설명했다.취약점 대응 우선순위 역시 단순한 위험도 점수에 의존하기보다 실제 운영 환경에서 악용될 가능성을 기준으로 판단해야 한다고 덧붙였다.칼데이라 CTO는 AI 기반 보안 체계를 구축할 때 특정 외부 모델에 대한 의존도도 고려해야 한다고 조언했다. 앤트로픽의 AI 모델 '미토스(Mythos)'를 언급하며 최근 다양한 AI 모델이 강력한 성능을 보여주지만 조직 내부에서 통제할 수 없는 단일 모델에 전체 소프트웨어 공급망 보안을 의존해서는 안 된다"고 말했다.이어 "외부 AI모델은 제공업체가 자체적인 사업적 결정을 내릴 수 있고 소속된 국가 규제를 받기도 한다"며 "대표적으로 올해 초 발생했던 미토스 서비스 제한은 정치적인 문제가 아니라 IT 보안 관점에서 기술 주권이 왜 중요한지 보여주는 사례"라고 강조했다.
Continue to ZDNet Korea →You are being forwarded in 6s — stay on this page