“공격받을 때마다 보안 얹는다? 그러다 누더기 된다” (조현숙 코드게이트보안포럼 이사장)

한 줄 핵심

AI 시대의 보안은 사후에 덧붙이는 방식으로는 버틸 수 없고, 에이전트 권한 통제와 설계 초기부터의 내재화, 그리고 국가 차원의 컨트롤타워가 함께 갖춰져야 한다.

시간별 요약

1. 0:00
   사후 덧붙이기식 보안의 한계 문제가 생길 때마다 보안 기능을 덧붙이면 시스템이 누더기가 되며, 새로운 시스템은 설계 초기부터 보안을 내재화해야 한다. 산업 현장의 시스템도 보안을 나중에 붙이는 방식이 아니라 처음부터 포함해야 한다.
2. 0:31
   AI 시대 보안의 핵심은 속도와 구조 변화 해킹 사고와 AI 에이전트 확산으로 보안의 중요성이 커졌고, 2008년과 비교할 수 없을 만큼 공격과 방어의 환경이 달라졌다. 국내 해킹 대회는 인재 양성과 글로벌 진출 통로 역할을 해 왔다.
3. 2:19
   AI와 인간 해커의 현재 승부 단순 계산이나 초반 과제에서는 AI가 앞서지만, 복잡한 판단이 필요한 구간에서는 인간의 개입이 여전히 결정적이다. 다만 일대일 대결이나 일부 과제에서는 AI가 상위권을 차지할 정도로 실력이 빠르게 올라오고 있다.
4. 3:45
   해킹의 주체가 AI가 되는 전환점 AI 에이전트를 활용하면 취약점 탐지와 침투 속도가 크게 빨라져, 해킹이 훨씬 자동화된 형태로 일반화될 수 있다. 화이트 해커와 블랙 해커의 구분보다, 어떤 편에서 어떤 행동을 하느냐가 더 중요해진다.
5. 5:40
   AI 에이전트 권한과 통제의 문제 AI 시대의 해킹은 모델, 학습 데이터, 에이전트 간 연결, API, 오픈소스 공급망까지 함께 봐야 하는 구조적 문제다. 에이전트가 이메일, 문서, 결제 같은 권한을 갖더라도 무엇을 학습했고 어디까지 활동 가능한지 통제할 수 있어야 하며, 인간의 개입과 중단 권한이 필수다.
6. 10:46
   사이버와 물리의 경계가 사라지는 보안 사이버 피지컬 보안은 정보보안과 물리보안을 따로 보지 않고 하나의 융합 문제로 다루는 관점이다. 반도체 공장, 데이터 센터, 로봇, 스마트 팩토리 같은 환경에서는 사이버 공격이 물리적 생산과 사람의 안전까지 위협할 수 있다.
7. 13:49
   한국 보안의 취약점은 문화와 컨트롤타워 한국은 사고 후 보고와 승인 절차가 길고, 빠른 대응과 자율권이 부족해 같은 보안 사고가 반복되기 쉽다. 강한 처벌 규정과 명확한 컨트롤타워, 그리고 담당자가 즉시 움직일 수 있는 권한이 필요하다.
8. 16:40
   설계 초기부터 보안을 함께 넣는 방식 인증 같은 보안 기능은 별도로 덧붙이는 것이 아니라 기능 설계와 함께 들어가야 하며, 나중에 붙이는 방식은 누더기를 만든다. 공격 기술과 방어 기술은 분리된 영역이 아니라, 방어를 위해 공격 기법을 이해해야 하는 하나의 역량으로 봐야 한다.
9. 17:55
   예산보다 중요한 것은 집중과 총괄 AI 보안 인재 양성은 구호성 숫자보다 실제로 쓸 수 있는 정책과 예산이 뒷받침돼야 하며, 조각난 지원으로는 효과가 떨어진다. AI 전략과 보안을 한 축으로 묶어 총괄 설계하는 컨트롤타워가 있어야 예산이 분산되지 않는다.
10. 19:19
    미래세대와 일반 사용자를 위한 조언 젊은 세대는 SF, 문화 체험, 다른 분야 관찰을 통해 시야를 넓혀야 하며, 보안 인재도 한 분야에만 갇히지 않는 경험이 필요하다. 일반 사용자는 공짜를 경계하고, 패스워드를 자주 바꾸며, 자기 정보는 스스로 지켜야 한다.

실무 인사이트

• AI 에이전트를 도입할 때는 기능보다 권한 목록과 중단 조건을 먼저 검토해야 한다.
• 보안은 사고 대응 부서가 아니라 제품·시스템 설계 단계에서 제품팀과 함께 시작해야 한다.
• 조직 차원의 보안 성숙도는 기술보다도 빠른 의사결정, 자율권, 컨트롤타워 유무에 크게 좌우된다.