[ISEC 2026] “AI 보안 위협, 막을 힘 갖추려면”... CISO-보안 기업 머리 맞댔다

ISEC 2026 토크 콘서트... 보안 수요자-공급자 한자리에서 솔직 대화
자율 AI 위협 대응, 국내 보안 경쟁력 강화 방안 등 논의

[보안뉴스=한세희 기자] 인공지능(AI) 기술 발달로 사이버 공격의 규모와 속도가 감당하기 힘들 수준으로 커지고 있다. 그렇다고 조직 생산성 향상을 위한 AI 활용을 보안 명목으로 막을 수만도 없다.

최첨단 AI 모델은 스스로 취약점을 찾고 악성 코드를 만들어 공격을 실행에 옮길 정도로 발전했다. 이같은 첨단 AI에 대한 접근권은 미국, 중국 등 소수 국가 정부의 결정에 따라 완전히 차단될 수도 있음을 최근 경험을 통해 배웠다.

기업과 정부 기관에서 보안을 책임지는 정보보호 인력이나 정보보호 솔루션을 공급하는 보안 산업계 모두 고민이 깊어지고 있다.

▲12일 서울 코엑스에서 열린 ISEC 2026에서 CISO와 정보보호 산업계 전문가 간 토크 콘터스가 열렸다. [출처: 보안뉴스]

아시아 최대 사이버보안 콘퍼런스 ‘ISEC 2026’ 이틀째 날인 12일 국내 대표 정보보호최고책임자(CISO)와 보안 산업 전문가들이 모여 ‘자율 AI 위협의 시대, CISO가 말하는 K-시큐리티 현주소’를 주제로 토크 콘서트를 열었다.

김진수 한국정보보호산업협회(KISIA) 회장이 좌장을 맡고, 지정호 토스 CISO와 김연석 한국전력기술 정보보호실장, 주진국 롯데월드 CISO, 이상국 안랩 전무와 AI보안 인텔리전스 협의체를 대표해 나온 손주환 스틸리언 연구소장이 패널로 참여했다. 주요 산업별 대표 CISO와 보안 산업 전문가들이 모였다.

새롭게 등장한 자율 AI 위협에 대한 대응 방안과 거센 지정학적 갈등 속에서 국내 보안 역량 업그레이드를 위한 해법을 논의했다.

AI, 보안 위협 속도-규모 폭증시켜
패널들은 AI 도입으로 인한 공격 속도의 비대칭성과 새로운 보안 사각지대를 AI로 인한 최대 고민으로 꼽았다.

손주환 소장은 “주말 사이 버그 바운티에 100-200개씩 취약점 신고가 쌓이고, 버그를 찾아 대책을 마련하기까지 걸리는 시간도 기존 30일에서 10시간 정도로 빨라졌다”며 생성형 AI 시대 보안 위협의 달라진 현실을 소개했다.

이상국 전무는 “AI 에이전트는 잘못된 행동을 실행에 옮김으로써 공격 표면을 넓히는 결과를 부를 수 있다”며 “빠른 대응 못지않게 올바른 대응도 중요하다”고 말했다.

주진국 CISO는 “AI 교육을 통해 직원들도 코딩을 하고 사이트 운영도 쉽게 할 수 있는 상황이 됐다”며 “회사 업무에 도움이 될 것이라 생각하며 이런 일을 하지만, 중요한 고객 정보나 개인 정보가 포함될 위험도 있어 보안 담당자들이 많이 신경 쓰고 있다”고 말했다.

지정호 CISO도 “AI에 의한 외부 공격뿐 아니라 내부에서 임직원들이 AI를 많이 활용하면서 만들어내는 변화가 빠르고 가져다 쓰는 데이터 양도 폭증했다”며 “관성적 보안 활동만으론 AI 위협에 대응하기 힘든데, 이에 대해 도움을 받을 사례나 대응할 인력이 부족한 점 등이 고민”이라고 말했다.

AI 기술 발전, 규제 환경 변화 대응에 고민
급변하는 기술과 변화하는 규제 환경 속에서 느끼는 어려움과 극복 방안도 공유했다.

지 CISO는 “금융권 망분리 규제가 완화되는 추세지만 아직 속도가 더뎌 AI를 적극 활용하지는 못하고 있다”며 “내부에서 직원들이 AI를 어떻게 활용하며 무엇을 입력하고 있는지, AI 에이전트로 자동화를 할 때 에이전트가 접근할 수 있는 범위를 통제하거나 인증을 강화하는 등의 문제에 신경을 쓰고 있다”고 말했다.

김연석 실장은 “공공기관이라 기존 보안 시스템과 새롭게 등장하는 AI 기반 보안 신기술 적용 사이에 균형을 맞추기 쉽지 않은 것도 현실”이라며 “국정원이나 기후에너지환경부 등 유관 기관과 협력하고, 회사가 위치한 대구경북 지역 보안 협의체나 전력그룹사 사이버 안보 협의체 등과 소통하면서 도움을 받고 있다”고 말했다.

첨단 AI와 보안 글로벌 보안 기업의 공세 속에서 국내 보안 역량을 끌어올릴 방안에 대해서도 머리를 맞댔다.

손 소장은 첨단 AI 개발을 주도하는 해외 기업이나 정부에 휘둘리지 않는 역량을 확보하기 위한 KISIA AI보안 인텔리전스 협의체 활동을 소개했다. 그는 “해외 첨단 모델 성능이 우수하지만, 제약이 가해질 때 대응할 수 있도록 국내 기업들이 힘을 모아 새로운 모델링 방식이나 모델 개선을 위한 논의를 하고 있다”고 말했다.

또 소스코드를 공개하지 않고 블랙박스에서 취약점을 찾아내는 연구를 통해 보안 기업 부담을 덜고, 산업계 목소리를 KISIA를 통해 전달해 제도 개선을 촉진한다는 목표다.

보안 역량 키울 생태계 키워야
기업 간 협업 생태계에 대한 고민도 나왔다. 이상국 전무는 “기업 간 적대적 경쟁보단 고객의 문제에서 출발해 어떤 문제를 해결하기 위해 기술을 활용할 것이냐는 관점에서 고민할 필요가 있다”며 “체크리스트에 기능 10개, 20개 더 많이 되느냐가 중요한 것이 아니라 고객이 느끼는 고민을 공감하고 풀어나갈 있도록 접근해야 한다”고 말했다.

공통의 글로벌 위협 환경에 함께 노출된 상태에서 같이 가는 공동체로서 로컬의 깊이와 글로벌 확장성의 균형을 맞추는 노력이 필요하다는 것이다.

이와 관련, 김연석 실장은 “수요자 입장에서 많은 개별 솔루션을 하나하나 검토하기엔 어려움이 있다”며 “보안 기업들이 협의체를 만들어 고객사에 맞는 솔루션 여러 개를 모아 소개해 주면 많은 도움이 될 것 같다”고 제안했다.

주 CISO는 “이제 보안이 회사 생존이 달린 문제가 된 만큼 보안 성능에 대한 요구가 더 커졌다”며 “보안을 내세워 무조건 AI 활용을 차단하기보다는 어떻게든 편리하게 활용할 수 있는 방안이 나오면 좋겠다”고 보안 산업계에 대한 기대를 전했다.

또 국내 보안 역량 강화를 위해 공공·민간 영역에서 AI 보안 솔루션을 도입하기 전, 실증 사업(PoC)을 적극 활용해 국산 솔루션의 완성도를 극대화하는 등 실증 사업의 확대가 필요하다는 제언이 나왔다.

해외 AI 모델에 대한 의존도를 낮추기 위해 민간 기업 간 보안 위협 데이터를 공유하고, 정부도 소형 언어모델(sLLM) 및 보안 특화 모델 개발을 지원하기 위해 글로벌 빅테크 수준에 준하는 GPU 컴퓨팅 자원 지원 등이 필요하다는 의견도 나왔다.

지 CISO는 “사용자 입장에선 아직 ‘이걸 쓰면 정말 안전하겠다’ 싶은 정도의 AI 보안 솔루션은 아직 없는 듯하다”며 “격변의 시대에 고객 수요를 잘 파악하고 쌓인 로그를 통합해 시그널을 잘 찾아내는 기술을 발전시키면 국내 산업계의 경쟁력이 높아질 것”이라고 말했다.

[한세희 기자(hahn@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다