인공지능(AI)이 업무를 대신 수행하는 시대가 현실화되면서 기업이 보호해야 할 보안 대상도 변화하고 있다. 직원 계정뿐 아니라 AI 에이전트, API 키, 서비스 계정처럼 사람의 직접적인 개입 없이 시스템에 접근하는 비인간 주체(Non-Human Identity, NHI)까지 관리해야 하는 시대가 됐다.

23일 업계에 따르면 최근 글로벌 클라우드 보안 업체 클라우드플레어는 보고서를 통해 AI 에이전트와 자동화 봇을 포함한 비인간 트래픽이 전체 웹 요청의 57.4%를 차지하며 처음으로 사람의 웹 트래픽(42.6%)을 넘어섰다고 밝혔다.

보안 업계에서는 이러한 변화에 대응하기 위해 사람과 비인간 주체를 구분하지 않고 모든 접근을 검증하는 '제로트러스트'를 새로운 보안 운영 원칙으로 주목하고 있다. SK쉴더스도 AI 확산에 따른 새로운 보안 환경에 대응하기 위해 제로트러스트 사업 전담 조직을 신설하고, 제로트러스트 기반 보안 체계 고도화와 기업 맞춤형 전환 지원에 나서고 있다.

비인간 주체의 확산…기업 보안이 마주한 새로운 과제
비인간 주체가 늘어나면서 기존 사용자 중심 보안 체계의 한계도 드러나고 있다. 지금까지 기업 보안은 사람의 계정과 단말을 중심으로 신원을 확인하고 접근 권한을 관리하는 방식으로 운영돼 왔다.

반면 AI 에이전트는 업무를 수행하는 과정에서 여러 시스템과 애플리케이션, API를 오가며 다양한 권한을 활용한다. 사람처럼 계정 소유자와 권한 범위를 명확하게 구분하기 어려운 만큼 기존 보안 체계만으로는 관리와 통제에 한계가 있다는 지적이 나온다.

위협 양상도 변화하고 있다. AI 에이전트가 외부 데이터와 시스템을 자율적으로 활용하는 환경이 확대되면서 악의적인 명령으로 AI의 행동을 조작하는 프롬프트 인젝션, 공급망 공격 등 새로운 보안 위협도 현실화되고 있다. 공격이 더욱 빠르고 복잡해지는 만큼 기업의 탐지·대응 체계도 새로운 환경에 맞춰 진화해야 한다는 목소리가 커지고 있다.

이제는 '누가 접근하는가'보다 '무엇이 어떤 권한으로 접근하는가'를 검증하는 보안이 중요해지고 있다. 사람과 비인간 주체를 모두 고려하는 제로트러스트가 주목받는 이유다.

SK쉴더스, 국내 환경에 맞는 제로트러스트 전환 지원
기업마다 IT 환경과 보안 수준이 다른 만큼 제로트러스트 역시 획일적인 방식으로 적용하기 어렵다. 최근에는 기업의 현재 보안 수준을 진단하고 우선순위를 설정한 뒤 단계적으로 전환하는 접근 방식이 확산되고 있다.

SK쉴더스는 2024년부터 국내 환경에 맞는 제로트러스트 도입 방법론인 'SKZT'(SK쉴더스 제로트러스트 방법론)를 개발·운영하며 기업별 전환 체계를 고도화해 왔다. 현재 보안 수준을 진단하고 조직 특성에 맞는 우선순위와 단계적 전환 전략을 제시하는 것이 특징이다.

인증부터 네트워크, 시스템, 애플리케이션, 데이터까지 주요 영역을 종합적으로 점검하며, AI 에이전트와 서비스 계정 등 비인간 주체를 포함한 모든 접근 주체에 대한 통제 방안 마련을 지원하고 있다.

이러한 경험을 바탕으로 2025년부터는 한국인터넷진흥원(KISA) 제로트러스트 컨설팅 및 실증사업에 참여해 기업 규모별 제로트러스트 도입 컨설팅을 수행하고, 실제 구축 과정에서의 적용 가능성과 운영 효과를 검증하고 있다.

특히 올해 실증사업에서는 AI 에이전트와 서비스 계정 등 비인간 주체가 증가하는 환경에 대응하기 위해 패스워드리스 인증과 지속 검증 체계 구현에 집중하고 있다. 패스워드리스는 비밀번호 대신 생체인증이나 보안키(FIDO) 등을 활용하는 방식으로 비밀번호 탈취 위험을 줄일 수 있다. 여기에 필요 시점에만 최소 권한을 부여하는 JIT(Just-In-Time) 접근제어와 지속 검증 체계를 결합해 사람뿐 아니라 시스템과 서비스 계정의 접근 권한까지 지속적으로 검증하는 것이 핵심이다.

SK쉴더스 관계자는 "AI 에이전트와 비인간 주체가 새로운 업무 주체로 자리 잡으면서, 이제는 사람뿐 아니라 시스템과 AI가 수행하는 모든 접근까지 검증할 수 있는 체계가 필요하다"며 "SK쉴더스는 기업들이 AI 환경에 적합한 제로트러스트 체계를 안정적으로 구축할 수 있도록 지원해 나갈 계획"이라고 말했다.

한편 SK쉴더스는 글로벌 시장조사 기관 프로스트 앤드 설리번으로부터 '2026 아시아태평양 고객 가치 리더십' 사이버 보안 우수 기업으로 선정됐다. 지난해에는 'IDC 마켓스케이프: 아시아태평양 MDR 서비스 벤더 평가 2025'에서 국내 기업으로는 유일하게 메이저 플레이어(Major Player)로 선정된 바 있다.

yjra@news1.kr