파고드는 ‘섀도우 AI’와 우회 공격…“공급망 보안, 생태계 ‘백신’ 관점 접근해야”

[산업일보]
기업의 인공지능(AI) 도입이 빨라지면서 관리되지 않는 ‘섀도우 AI(Shadow AI)’와 공급망을 통한 보안 위협이 커지고 있다. 위협 기반 제3자 위험 관리(TPRM) 기업 시큐리티스코어카드는 안전한 AI 도입을 위한 ‘AI 벤더 위험 관리 검증 가이드라인’을 19일 발표했다.

시큐리티스코어카드 보안팀이 공식적으로 파악한 AI 벤더가 12개인 조직에서 실제 사용 중인 AI 도구는 60개에 달하는 사례를 들며, 미승인 도구 확산이 통제를 어렵게 한다고 짚었다.

공급망을 통한 우회 공격도 늘고 있다. 시큐리티스코어카드 우청하 지사장은 본보와의 전화 인터뷰에서 “일례로 국내 S기업이 1차 협력사 2천여 곳을 조사한 결과, 과거 15~20% 수준이던 공급망 우회 공격 비중이 최근 35~49%까지 늘었다”며 “전체 해킹 시도의 절반 가까이가 보안에 취약한 제3자 네트워크를 통해 유입되는 셈”이라고 말했다.

시큐리티스코어카드는 일회성 보안 평가만으로는 AI 시스템의 변화하는 위협에 대응하기 어렵다며, 계약 전 필수적으로 확인해야 할 세 가지 보안 위험 평가 기준을 구체화했다.

먼저 데이터 흐름 및 개인정보 보호 통제 관점에서 벤더가 접근하는 데이터의 익명화 여부를 살피고, 실제 계약서상의 AI 학습 활용 권한·데이터 보관 기간·재위탁업체(Subprocessor) 목록을 면밀히 검토할 것을 주문했다.

또한 AI 기능 측면에서 기존 모델을 감싼 래퍼(Wrapper) 방식인지 자체 알고리즘을 운용하는지 검증하고, 동일 규모 기업의 실제 도입 사례와 성능 지표를 확인할 것을 권고했다. 아울러 AI 벤더의 편향 완화 프로세스와 제3자 감사 여부 등을 점검해 윤리적 AI 요건을 실질적으로 입증할 수 있어야 한다고 덧붙였다.

우 지사장은 “벤더가 제출한 자동화 답변이나 과장된 마케팅에 의존하지 않으려면 기술 아키텍처를 교차 검증해야 한다”며 “자체 데이터베이스와 위협 인텔리전스를 활용해 벤더의 실제 기술력과 보안 수준을 분석하고 있다”고 설명했다.


시큐리티스코어카드는 가이드라인 적용을 지원하는 자사 제3자 위험 관리 플랫폼 ‘타이탄 AI(TITAN AI)’도 소개했다. 회사 측은 세부 솔루션인 ‘TITAN Assess’가 보안 평가와 설문 업무를 자동화해 반복 업무를 줄이도록 설계됐다고 설명했다.

실제 도입 성과도 제시했다. 우 지사장은 “S사가 1차 협력사 2천여 곳에 실시간 보안 평가를 도입한 결과, 초기 35% 미만이던 A·B등급 비율이 현재 68.4%까지 상승했다”고 밝혔다. 이어 “개별 기업을 넘어 공급망 전체를 하나의 생태계로 묶어 방어하는 ‘공급망 백신’ 역할을 한다”고 말했다.

AI 모델과 데이터 처리에 관여하는 하위 처리자가 계약 이후에도 바뀔 수 있는 만큼 지속적인 모니터링도 중요하다. 우 지사장은 “구매·IT 거버넌스·보안 부서 간 정보 단절을 해소하고, 플랫폼을 통해 공동 위협을 파악해 협력사별 맞춤형 조치 사항을 자동으로 할당하는 방식으로 관리 체계를 발전시키고 있다”고 덧붙였다.