과학기술정보통신부가 산학연 전문가들과 간담회를 열고 ‘미토스 쇼크’ 등 글로벌 인공지능(AI) 기업의 사이버보안 프로젝트와 관련한 대응방안을 논의했다고 8일 밝혔다.
오는 11일 마이클 셀리토 앤트로픽 글로벌 정책 총괄과 류제명 과학기술정보통신부 2차관의 면담을 앞두고 민관이 머리를 맞대고 대응 방향을 모색하는 분위기다.
이날 간담회는 지난달 14일 전국 CISO(약 3만여 개사)를 대상으로 보안 대비태세 점검을 요청하고, 30일 ‘AI 기반 사이버공격 대비 기업 대응 요령 및 CEO 행동 수칙’을 배포한 데 이어 이뤄졌다. 과기정통부는 “고성능 AI 모델에 대한 보안영향과 향후 대응방안에 대해 각 분야 전문가의 의견을 충분히 청취하려는 취지”라고 설명했다.
간담회에는 SK텔레콤·업스테이지·모티프테크놀로지스 등 독자 파운데션 모델 개발(독파모) 참여기업과 주요 AI 기업, 한국정보보호학회장을 비롯한 AI 보안 분야 학계 전문가·한국정보보호산업협회장을 비롯한 주요 정보보호기업 대표·주요 기업 CISO 등이 참여했다.
참석자들은 AI 보안모델의 영향에 대해 사이버보안 분야에 상당한 변화를 줄 것이라는 견해와, 과대평가된 측면이 있어 우려가 과도하다는 의견 등 평가가 엇갈렸다. 하지만 “미토스 등 고성능 AI 기반 사이버보안 서비스의 등장에 따라 장단기 대응방안을 민관이 함께 모색해야 할 시점”이라는 데는 공감대를 형성했다.
AI를 활용한 실제 취약점 점검 사례도 공유됐다. 한국인터넷진흥원(KISA)이 AI 보안 점검 차원에서 국내 기업을 대상으로 앤트로픽의 최신 AI 모델을 활용해 모의해킹을 진행한 결과 10여분 만에 7건의 취약점을 발견한 것으로 나타났다.
이와 관련해 최우혁 과기정통부 정보보호네트워크정책실장은 “국내 기업 1곳과 협의를 거쳐 앤트로픽의 ‘클로드 오푸스 4.7’ 모델을 활용한 다양한 시나리오 공격을 실시한 결과 실제로 7건의 취약점이 발견됐다”며 “인간 해커라면 며칠이 걸릴 작업을 불과 10여분 만에 수행했다”고 백프리핑에서 설명했다.
5월 말~6월 초 중장기 대응 방안 구체화
보안 산·학·연 전문가들 사이에서는 단기적으로는 기존 범용 AI 모델을 활용해 대응 역량을 높이고, 중장기적으로는 사이버 보안에 특화된 독자 AI 모델이 필요하다는 데 공감대가 형성된 상황이다.
단기적인 대응책의 예시로는 영국 국가사이버보안센터(NCSC)에서 제공하는 ‘얼리워닝’서비스나 보안 고위험 기업에 대한 보안 패치 의무적용제 등의 사례가 거론된 것으로 전해졌다. 미토스만큼의 고성능 AI 모델이 아니더라도 기존 AI 모델과 보안 기술을 결합해 활용하는 동시에 기업·조직에 대한 사이버 위협에 대한 조기 탐지 체제를 갖추자는 것이다.
이와 함께 최 실장은 “현재 앤트로픽이 미토스 모델의 위험성을 관리하기 위해 주요 빅테크와 구성한 연합체 ‘프로젝트 글래스윙’에 국내 기업·기관이 참여할 수 있도록 지속적으로 협의를 이어가고 있다”고 설명했다.
다만 우리 측의 글래스윙 참여가 무산되거나 지연될 가능성에 대비한 플랜B와 관련해서는 “우선 각 기업 CISO(최고정보보호책임자)들에게 행동 강령을 배포한 상태”라며 “향후 중장기 대응 방안을 논의하는 과정에서 종합적으로 검토할 예정”이라고 덧붙였다.
중장기적으로는 ‘제2, 제3의 미토스 쇼크’ 등을 전제로 독자 AI 모델의 경쟁력 강화와 보안 특화 모델 개발이 필수적이라는 데도 의견이 일치됐다. 최 실장은 “독파모를 기반으로 보안 특화 모델을 개발하거나, 독파모의 보안 기능을 더욱 고도화하는 방법 등 다양한 가능성이 열려있다”고 전했다.
과기정통부는 앞으롤 보안 업계와의 후속 논의를 이어가며 이달 말이나 내달 초 관련 중장기 대응 방안을 공개할 계획이다.