"미국산 AI 차단에 날벼락"…韓 보안 진영, 독자 'AI 방패' 만든다[미토스 수출통제②]

[서울=뉴시스]윤정민 기자 = 미국의 인공지능(AI) 기업 앤트로픽이 최상위 모델의 해외 접근을 차단하면서 국내 보안 업계에 비상이 걸렸다. AI가 사이버 해킹의 취약점을 찾고 방어하는 핵심 도구로 떠오른 상황에서 외산 소프트웨어에만 의존하다가는 국가 방어망이 언제든 마비될 수 있다는 우려가 커졌기 때문이다.

이에 정부와 산업계는 외산 AI와의 협력은 유지하되 국내 자체 방어 역량을 키우는 투트랙 전략에 착수했다. 민간에서는 이미 취약점 점검과 패치를 지원하는 프로젝트가 가동됐다. 정보보호산업계 차원의 공동 대응 협의체도 출범을 앞두고 있다. 정부 역시 독자적인 보안 특화 AI인 이른바 '한국형 미토스' 개발 검토에 돌입했다.

국내 보안 시장에서 가장 먼저 움직인 곳은 연합체 '프로젝트 캐노피(이하 캐노피)'다. 보안 기업 티오리가 주도하는 이 협력체는 고성능 AI와 자체 보안 도구를 활용해 오픈소스, 공공 소프트웨어, 학교, 병원 등 공익성이 높은 인프라의 해킹 취약점을 무상으로 점검한다.

그동안 '클로드 미토스' 같은 고성능 AI가 등장하면서 시스템의 빈틈을 찾아내는 능력은 비약적으로 발전했다. 문제는 취약점을 찾는 것과 이를 실제로 고치는(패치) 것은 별개라는 점이다. 예산과 기술 인력이 부족한 중소기업이나 공공기관은 AI가 해킹 위험을 경고해도 곧바로 방어벽을 세우지 못해 쩔쩔맸다.

박세준 티오리 대표(캐노피 초대 위원장)는 "특정 AI 모델 하나에만 매달리는 방식은 이번 차단 사태처럼 한계가 명확하다"고 지적했다. 캐노피는 AI가 찾아낸 취약점이 진짜 위협인지 검증하고 개발자가 즉시 고칠 수 있도록 패치 작성과 적용 방법까지 통틀어 안내하는 역할을 맡는다. 박 위원장은 "기존에 취약점을 발견하고 고치기까지 90일이 걸렸다면, 캐노피를 통해 이를 7일 안팎으로 줄이겠다"고 강조했다.

박 위원장은 "캐노피는 특정 AI 모델이나 기업 기술 하나에 기대는 방식이 아니라 여러 모델과 기술, 협력체를 함께 활용하는 보완 모델"이라며 "AI 보안 생태계를 지키려면 이런 하이브리드 방어 체계가 필요하다"고 말했다.

캐노피는 시범 활동을 통해 이미 전자정부 표준프레임워크와 학교 내부 시스템 등에서 심각한 취약점 수백 건을 찾아내 지자체와 기관에 제보했다. 현재 해당 시스템들은 긴급 패치 작업을 진행 중이다.

국내 정보보호 기업들이 뭉친 한국정보보호산업협회(KISIA)도 AI 보안 협력체인 'K-글래스윙(가제)' 출범을 서두르고 있다. 글로벌 빅테크 AI 모델들이 가진 보안 위험에 국내 보안 업계가 공동으로 대응하겠다는 취지다.

김진수 KISIA 회장은 이달 중 ‘K-글래스윙’ 준비위원회를 발족한 뒤 한두 차례 논의를 거쳐 빠르면 다음 달 정식 출범에 나설 계획이라고 밝혔다. KISIA가 국내 정보보호 기업들을 회원사로 둔 협회인 만큼 향후 참여 기업·기관 규모도 적지 않을 것으로 전망된다.

김 회장은 "우리에게 위협이 될 수 있는 AI 모델에 대해 정보보호산업계가 손 놓고 있을 수는 없다"며 "급변하는 상황에 맞게 협회도 열심히 준비하고 있다"고 말했다.

정부도 독자 AI 보안 역량 확보를 위한 움직임을 보이고 있다. 과기정통부는 앤트로픽, 오픈AI 등 글로벌 AI 기업과 협의를 이어가는 한편 지난달 'AI 기반 사이버 위협 대응 민간 정보보호 추진계획'을 발표했다.

핵심은 외산 AI 협력망을 활용하되 국내에서도 취약점 탐지·분석 AI 역량을 확보하는 투트랙 전략이다. 정부는 외산 고성능 AI 모델 접근권이 흔들릴 가능성에 대비해 국내 취약점 탐지·분석 역량을 높이고 독자 AI 파운데이션 모델을 활용한 보안 특화 AI 모델, 즉 '한국형 미토스' 개발을 검토하고 있다.

사이버 보안 분야는 일반 대화형 AI와 다르다. 해킹 공격 코드, 침해사고 분석 정보, 보안 패치 이력 등 국가 안보와 직결된 극비 데이터가 필수적으로 쓰인다.

만약 미국이나 중국산 AI 모델에만 의존할 경우, 국내 핵심 시설의 보안 취약점과 기업의 소스코드가 통째로 해외 서버로 넘어가 보안 구멍이 생길 수 있다. 국가 방어망을 지탱하는 인프라인 만큼 국내에서 완벽하게 통제할 수 있는 국산 모델과 운영 체계가 반드시 필요한 이유다.

전문가들은 국내 대응이 협의체 구성만으로는 충분하지 않다고 본다. 한국형 협력체를 만들더라도 해외 모델을 계속 쓰면 소스코드 해외 반출과 모델 접근권 제한 문제는 남기 때문이다.

이상근 고려대 AI보안연구소장은 "K-글래스윙이라 하더라도 해외 모델을 계속 사용한다면 소스코드 해외 반출 문제가 있다. 국산 모델이면서 미토스급 성능을 갖춘 모델이 없으면 근본적으로 해결하기 어려운 문제"라고 말했다.

이어 "미토스가 뛰어난 것은 맞지만 이를 미토스만 할 수 있는 일이냐는 것은 별개"라며 "마이크로소프트 'MDASH'처럼 여러 모델과 전문 에이전트를 조합해 취약점 탐지·검증·패치 과정을 단계별로 수행하는 구조를 만드는 것이 더 중요하다"고 설명했다.


◎공감언론 뉴시스 [email protected]