[보안칼럼] AI시대, 더 커진 보안위협…제로 트러스트가 방패될 것

2023년 11월 중국, 챗GPT를 악용해 개발한 랜섬웨어가 보안 공격에 사용되는 사건이 발생했다. 인공지능(AI)이 위협이 될 수 있음을 보여준 대표적 사례다.

이후 랜섬웨어 공격은 빠르게 늘고 있다. KARA(Korean Anti Ransomware Alliance)가 올해 1분기 발표한 랜섬웨어 동향 보고서에 따르면, 전 세계 랜섬웨어 피해 건수는 전년 동기 대비 122% 증가한 2575건에 달한다.

특히 거대언어모델(LLM)의 발전은 해커에게 정교한 공격 수단을 제공한다. △자가 전파 능력을 가진 '크립토웜'의 변종 △피싱·이메일 등으로 기밀 정보를 누설하도록 유도하는 '웜GPT' △악성코드, 피싱 페이지 생성을 지원하는 '사기GPT' 등은 AI의 이면을 보여준다.

클라우드 기반 AI는 데이터를 서버로 전송해 처리하기 때문에 피해가 더 심각할 수 있다.

이에 데이터를 자체적으로 처리, 데이터 전송 과정에서의 보안 위협을 최소화하는 '온디바이스AI'가 각광 받고 있지만, 이 역시 완벽한 해결책은 아니다. 디바이스가 현장에서 잘못된 데이터를 학습하거나 편향된 지식을 습득할 수 있기 때문이다.

이를 보완하기 위해 서로 다른 공간과 시점에서 학습한 온디바이스AI가 서로 정보를 공유하고, 잘못된 학습을 바로잡는 '연합학습(Federated Learning)'을 진행한다. 그러나 이 과정에는 필연적으로 엣지-클라우드 간 통신이 필요하고, 이는 다시 보안 위협을 불러오는 악순환이 될 수 있다.

AI 데이터 플랫폼 '디닷허브'(D.HUB)와 온디바이스AI를 적용한 '디닷엣지'(D.EDGE)를 개발한 디토닉은 이 같은 위협을 피하기 위해 '제로 트러스트'(Zero Trust) 모델을 적용, 강화에 나섰다.

'절대 신뢰하지 말고, 항상 검증하라'는 원칙에 기반한 이 보안 패러다임은 모든 사용자와 기기, 구성 요소가 네트워크 내부, 혹은 외부에 있는지에 관계없이 모든 접근 및 통신을 보안 위협으로 간주한다.

기본적으로 데이터 및 리소스엔 액세스할 수 없으며, 연결을 위해선 엄격히 제어된 액세스 권한을 부여한다. 또 이 과정을 모든 엔드포인트에 적용해 사용자는 매 순간 새로운 비밀 정보로 신원을 증명해야 한다.

제로 트러스트 시스템은 사물인터넷(IoT) 및 로봇 보안과 관련된 국제표준(예를 들면, ISO TR 23482-2, IEC 62443) 및 국내 규정을 준수해야 한다. 이 같은 충분한 대비가 없다면 AI를 활용해 서비스를 고도화하고, 업무효율을 증대하려는 기업들의 움직임이 오히려 큰 피해를 야기할 수 있다.

이에 디토닉은 디닷허브와 디닷엣지 솔루션 간 상호운용성 확보와 보안 솔루션을 개발, 강화하고 있다. 엣지-클라우드 협업과 학습을 운영하기 위해 제로 트러스트 기반의 강력한 보안 체계도 국내외 주요 기준에 맞게 운영 중이다. 고객과 파트너가 인공지능전환(AX) 진행 중 예기치 못한 보안 위협에 빠지지 않도록 하기 위해서다.

디토닉 외에도 많은 테크 스타트업이 같은 고민과 노력을 하고 있지만, 아쉬운 부분도 있다. 명확한 가이드라인 부재, 로드맵 설정, 초기 비용 부담 등 현실적인 장벽이 여전히 존재하기 때문이다.

마침 과학기술정보통신부와 한국인터넷진흥원(KISA)이 최근 제로 트러스트 핵심 요소 준수 및 가이드라인에 부합하는 정부 과제 진행은 물론, 기업의 제로 트러스트 도입 컨설팅 지원에 적극적으로 나서기로 했다.

제로 트러스트는 세계 주요 테크 선진국 모두가 주목하고 있는 보안 패러다임이다. 글로벌 추세에 대응해 민간에서 적극적으로 제로 트러스트를 도입하고, 정부가 이에 발맞춰 적시에 제도적 지원을 병행한다면 한국도 빠르게 확산하는 AI 산업의 속도에 비례해 늘어나는 새로운 보안위협에 효율적으로 대응할 수 있을 것으로 기대한다.

이준열 디토닉 연구소장 johnlee03@dtonic.io