강병탁 AI스페라 대표, “AI 시대 보안은 ‘운영’... 에이전트 CTEM 출격”

“미토스 대응? 기술 앞서 문화 개선부터”
“중소기업 보안 미흡, 대기업 보안까지 위협”

[보안뉴스 강현주 기자] “AI 위협 대응은 발견된 취약점을 실제 조치로 빠르게 연결하는 ‘운영’ 체계 마련이 우선입니다. AI 시대 공격표면관리(ASM)의 다음 단계는 지속적 위협노출관리(CTEM)에 AI 에이전트를 접목한 ‘AI TEM’입니다.”

강병탁 AI스페라 대표는 14일 그랜드인터컨티넨탈 서울 파르나스에서 열린 ‘크리미널IP 컨퍼런스 2026’(CIPC 2026)에서 기자들과 만나 이같이 밝혔다.

강 대표는 3월 샌프란시스코에서 열린 RSAC 2026에 참가해 파악한 트렌드를 공유했다.

▲강병탁 AI스페라 대표가 기자들과 인터뷰 하고 있다. [출처: AI스페라]

“ASM 다음 스텝 ‘AI TEM’ 대세 이끌 것”
그는 “RSAC 2026은 AI로 뒤덮인 행사였다”며 “AI는 해커를 천재로 만들어주는 게 아니라 공격 역량을 대량 생산하게 해준다”며 “이 같은 AI 시대에는 에이전틱 AI가 보안 운영을 자동화하고, 방치된 AI를 탐지하며, AI가 취약점 해결까지 해준다”고 말했다.

강 대표는 “보안 시장의 흐름을 2021년부터 ASM이, 2023년부터는 ASM의 마지막 형태인 CTEM이 이끌었다면 2026년부터는 ‘AI화된 CTEM’일 것”이라며 “우린 이걸 ‘AI TEM’이라고 부르기로 했고 AI스페라가 대세를 이끌겠다”고 밝혔다.

CTEM은 자산 스캔을 일회성으로 하는 것이 아니라, 지속적으로 스캔하고 우선순위를 구분하는 등 ASM을 ‘운영화’한 개념이라는 설명이다.

강 대표는 “ASM과 AI 에이전트를 접목한 ‘크리미널IP AI TEM’을 다음 달 출시한다는 목표”라며 “취약점이 발견돼도 자산 담당자와 연락할 곳을 파악하기 힘든데, AI TEM은 다양한 맥락을 분석해 자산 담당자와 관련 정보를 추론하고, 빠른 대응을 지원한다”며 “취약점 뉴스를 모니터링하고, 자산 정보와 연계해 영향 받을 시스템을 확인하도록 고도화하고 있다”고 설명했다.

”취약점 찾는 기술만으로는 AI 위협 대응 무용”
미토스 등장으로 부각된 AI 위협에 대해 강 대표는 “AI 공격이 고도화될수록 취약점을 찾는 기술뿐 아니라, 발견된 취약점을 실제 조치로 연결하는 운영 체계가 중요하다”며 “보안 패치, 자산 식별, 담당자 지정, 대응 우선순위 설정 등 기본적 프로세스가 먼저 정립돼야 하며, 이후 이를 AI로 자동화하는 것이 순서”라고 말했다.

AI는 취약점 탐지와 분석에는 큰 도움을 줄 수 있지만, 실제 해결은 기업 내부 ‘운영 프로세스’의 문제라는 얘기다.

그는 “취약점을 찾아내는 것과 실제로 해결하는 것은 다른 문제다. 책임소재, 서비스 중단 가능성, 레거시 시스템 문제 등으로 조치가 지연되는 경우가 많다”며 “따라서 AI 기반 보안 대응을 위해서는 기술 도입과 함께, 발견된 취약점을 실제 대응으로 연결하는 조직 내 프로세스 개선이 병행돼야 한다”고 강조했다.

이어 “미토스와 같이 전방위적 공격이 등장할수록 사람이 모든 취약점과 알림을 수동으로 확인하기는 어렵다”며 “AI 기반 보안 기술은 완벽한 해결책이라기보다 보안 담당자의 반복 업무를 줄이고 대응 효율을 높이는 역할을 한다”고 했다.

강 대표는 중소기업 보안 강화의 중요성도 강조했다. “중소기업은 대기업·공공기관·방산업체 등과 협력사로 연결된 공급망의 한 축”이라며 “업무상 프로젝트 자료, 접근 권한, 계정 정보 등을 일부 보유하거나 주요 기관의 시스템과 연결돼 있는 경우가 많기 때문에, 보안이 미흡하면 개별 기업을 넘어 공급망 전체의 리스크로 확산될 수 있다”고 말했다.

그는 “협력사와 중소기업까지 자산 식별, 로그 관리, 취약점 점검, 보안 패치 등 기본 보안 체계를 갖추는 것이 공급망 보안 강화의 출발점”이라고 강조했다.

이 날 행사에선 AI스페라 공동창업자인 김휘강 고려대 교수도 ‘규제 변화에 따른 ASM 기반 모의해킹 서비스’를 주제로 기조연설을 했다.

또 윤영 익스웨어랩스 대표가 ASM 활용 전략을 공유했다. 박인환 한화솔루션 프로는 1년간의 공격 표면 관리 현장 후기를 전했다. 이 외에도 다양한 보안 기업들이 보안 자동화 및 통합 보안 전략을 제시했다.

[강현주 기자(jjoo@boannews.com)]

우리나라 정보보호 수준 향상을 위해 이재명 정부에게 가장 바라는 점은 무엇인가요?
	ISMS 등 보안 인증 제도 실효성 개선
	AI 보안, 양자보안 등 보안 기술 연구개발 지원 확대
	중소 기업 보안 지원 확대
	기업 보안 예산 비율 의무화
	국가 정보보호 거버넌스 체계 정비
	기타(댓글로)