[ISEC 2026] 박용규 KISA 본부장 “AI 보안, 실패해도 도전해야 발전 가능”

ISEC 2026 특별강연 ‘사이버위협 속에서의 AI 위치와 활용 방향’
도전과 실패 과정에서 얻은 데이터를 다시 활용하며 학습 루프 만들어야

[보안뉴스 원병철 기자] 미토스의 등장 이후 AI는 보안 분야에 큰 영향을 미치고 있다. 2026년 3월 미토스의 등장으로 자율 AI 해킹 공격이 현실화됐고, 프로젝트 글래스윙이 출범하며 공동 협력에 나섰다. 우리 정부도 AI 사이버위협의 부상에 따라 즉시 대응에 나섰고, AI 기반 공격 대비 가이드라인 배포나 프로젝트 글래스윙 참여, 아시아 최초 오픈AI G-TAC 참여 등 미토스 충격 최소화를 위한 노력을 아끼지 않았다.

정부, 취약점관리센터로 미토스 충격 대응
박용규 KISA 디지털위협대응본부 본부장은 8월 11~12일 양일간 펼쳐지는 ‘ISEC 2026’ 첫째 날 특별강연에서 “미토스가 한 달 만에 취약점을 1만6000건 발견하는 등 AI가 취약점을 대량 생산하는 시대가 열리며 이에 대응하기 위한 국가 단위 상설 대응 조직이 필요해졌고, 6월 5일 취약점 관리센터가 출범했다”고 설명했다.

“국가 차원의 통합 취약점 컨트롤 타워인 취약점관리센터는 AI 취약점 공개에 대응하기 위해 민관합동 대응 체계를 마련하고, 취약점패치관리 등 대응 일원화에 집중하고 있습니다.”

취약점관리센터는 국가안보실과 과기정통부, 국정원과 국방부 등 민관군을 통합한 범정부 거버넌스와 협력체계, 민간 분야 대응을 위한 조직으로, AI취약점 및 패치정보 관리 일원화와 위협상황 발생시 신속한 공유와 전파 등 긴급대응을 위해 마련됐다.

사이버보안, IT 문제를 넘어 핵심 비즈니스 리스크로 자리 잡아
영미권 5개국 기밀 정보 공유 동맹 파이브아이즈(FIve Eyes)는 ‘5대 실천 행동 권고’를 통해 AI 시스템의 안전한 배포를 위한 지침을 내렸다. 첫째, 클라우드 및 인프라 환경 전체에 ZTA를 적용하고, 둘째 지속적인 모니터링과 실시간 감시를 강조했다. 셋째 엄격한 데이터 거버넌스와 자산 보호를 하도록 했으며, 넷째 AI 전용 레드팀 운영 및 신속한 거버넌스를 수립하도록 했다. 마지막 다섯째 공급망과 서드파티 AI 자산의 무결성을 검증하도록 했다.

과기정통부와 KISA도 AI 기반 사이버공격 대비 기업 대응 요령을 통해, 첫째 AI 기반 방어 및 거버넌스 재정비, 둘째 공급망(오픈소스) 및 제로트러스트 전환, 셋째 보안 기본기 집중, 넷째 민관 협력 및 위협정보 실시간 공유를 강조했다. 박 본부장은 “AI 기반 상시·자동화 방어 체계로의 전환과 ZT 등 보안 기본기 확립을 바탕으로, 민·관 협력을 통한 사이버위협의 선제대응이 핵심”이라고 강조했다.

파이브아이즈나 과기정통부의 대응을 살펴보면 사이버보안은 IT 문제를 넘어 핵심 비즈니스 리스크로 자리 잡았으며, 이는 결국 경영진의 책임이라는 공통점이 있다. 아울러 자산 전수 조사와 강력한 인증, 신속한 회복이라는 거버넌스의 근본적 변화를 요구한다.

박 본부장은 데이터 생산 구조로 체질을 전환하지 못하면 AI는 무용지물이라면서, AI 시대의 거버넌스는 고정된 절차가 아닌 지속적 교정에 있다고 강조했다. 즉, 지금은 해결책이 아닌 진짜 문제를 발굴하는 단계이며, 새로운 시도와 여기서 오는 데이터를 바탕으로 교정과 재시도를 거듭해 학습 루프를 만들어야 한다는 설명이다.

“2026 가트너 보안전략 전망 보고서에 따르면 응답기업의 68%는 고도화되는 AI 보안 위협에 대응할 준비가 미흡하다고 답할 정도로 아직 우리는 AI 보안에 어려움을 겪고 있는 게 사실입니다. 하지만 어렵다고 두려움에 멈춰있는 것이 아니라, 실패하더라도 그 과정에서 얻은 데이터를 다시 활용함으로써 한 걸음 나아가는 것이 꼭 필요하다고 생각합니다.”

[원병철 기자(boanone@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다