AX 열풍에 보안 점검 수요 급증…AI 에이전트가 모의해킹 수행

[산업일보]
기업들이 AX(인공지능 전환)에 박차를 가하고 고성능 AI 모델이 등장하면서 보안 점검 수요가 급증하고 있지만, 한정된 화이트해커 인력만으로 감당하기에는 역부족인 실정이다. 이에 AI 기반의 자동화 솔루션을 활용해 진단 업무를 효율화해야 한다는 현장 전문가의 지적이 제기됐다.

LG CNS의 RED팀 이진욱 팀장은 서울시 강남구 역삼동 AWS 코리아 오피스에서 1일 진행된 ‘AWS Security 101 기자간담회’에 참석해 'Security Agent: AI에게 맡겨본 보안'을 주제로 발표했다.

RED팀은 화이트해커로 구성된 전문가 조직으로, 모의해킹으로 시스템 취약점을 찾아서 제거하는 역할을 수행한다.

이 팀장은 “최근 대형 보안사고가 잇따르며 해커와 동일한 관점에서 시스템을 점검해 달라는 요청이 급증하고 있다”라며 “또한 AX 프로젝트가 많아지면서 모의해킹 수요도 늘어났으며, AI 모델 성능이 고도화되면서 해킹 공격에 대한 두려움도 커진 상황으로 2024년 대비 올해 보안 점검 수요는 약 30% 증가할 것으로 보인다”라고 진단했다.

그는 “LG CNS는 개발 영역에서 AI를 적극 활용하고 있으며, 보안 영역에서는 이렇게 도입된 AI를 안전하게 사용할 수 있는 방법에 대해 고민해 왔다”라며 “지난해 다양한 보안 솔루션을 검토하면서 AWS의 ‘AWS Security Agent’를 도입했다”라고 말했다.

그러면서 기존 점검방식인 DAST(동적 애플리케이션 보안 테스트), 전문가를 통한 Pentest(침투테스트), AI 기반 Pentest를 비교했다.

DAST는 패턴을 중심으로 스캔을 진행하면서 정확한 취약점을 찾아내지만, 오탐지도 많이 발생하기 때문에 재확인이 필요했다.

화이트해커가 직접 서비스에 익스플로잇(Exploit, 공격 프로그램)을 투입해 취약점을 식별하는 Pentest는 복잡한 비즈니스 로직 분석에 강점이 있지만, 인력 유지 비용이 필요하고 점검 기간이 오래 걸렸다.

AI를 활용한 Pentest는 AI 에이전트가 화이트해커처럼 다양한 취약점을 탐지하고, Validator(유효성 검사기)를 통해 오탐지율을 줄인다. 또 적절한 정보를 주입했을 때 비즈니스 로직에서 취약점을 찾아내는 것도 가능하다.

이진욱 팀장은 다양한 AI 에이전트 중 AWS Security Agent를 도입한 이유로 ▲넓은 점검 범위와 낮은 오탐지율 ▲취약점 평가 근거 제공 ▲빠른 점검 속도와 낮은 비용 ▲AWS 클라우드 서비스와 통합 가능한 사용 편의성을 제시했다.

그는 “실제 도입 결과, 전문가가 4~5일 수행하던 점검이 5시간 만에 종료됐다”라며 “오탐지는 존재하지만, 권한·설계서와 같은 맥락을 추가로 학습시킬 경우 최대 90% 이상의 높은 정탐률을 확인했다”라고 언급했다.

이어 “만약 점검 업무에 AI 에이전트만 단독으로 사용한다면 기존보다 80% 이상의 비용 절감이 기대된다”라며 “매년 반복적으로 수행하는 정기 점검은 AI 에이전트만으로도 충분하다고 본다”라고 덧붙였다.

LG CNS는 올해 2분기까지 일부 서비스를 대상으로 AI Pentest의 PoV(Proof of Value)를 수행했으며, 3분기 이후 LG 그룹사 전체를 대상으로 확산해 나갈 계획이다.

이진욱 팀장은 “2024년까지만 해도 전문가의 역량이 팀 수준을 가늠하는 척도였다”라며 “그러나 AI가 발달하면서 그 기준이 조금씩 바뀌고 있으며, AI 해킹 테스트 도구를 얼마나 효과적으로 활용해 목적을 달성하느냐가 중요한 시대가 됐다”라고 강조했다.