강은성 ICT과학부장 © 뉴스1 박지혜 기자
해당 직원은 이틀 동안 AI 코딩 에이전트에 회사의 비공개 소스코드를 수집하도록 지시했다. 이후 별도의 저장소를 만들어 회사 컴퓨터와 연결된 클라우드의 자료까지 추가로 전송했다. 인증키와 민감한 파일도 제외하지 말라고 지시했다.
이번 사례에서 주목할 부분은 AI가 회사의 보안 취약점을 공격해 접근권한을 탈취한 것이 아니라는 점이다. 직원은 '해커'가 아니었지만, AI와 자신이 이미 가진 권한을 이용해 데이터를 빼돌렸다.
노마시큐리티의 보안전략 담당 부사장 크리스 휴스는 이를 '허가된 접근권한을, 허가되지 않은 목적으로 사용한 내부자 위협'이라고 설명했다.
AI를 이용해 보안 감시를 피하려 한 사례도 있다.미국 보안업체 DTEX가 조사한 기업 내부자는 네트워크 전문 직원이었다. 이 직원은 챗GPT와 클로드, 그록 등에 내부자 감시 시스템의 탐지를 피하는 방법과 흔적을 적게 남기면서 파일을 전송하는 방법을 물었다.
이후 회사 내부의 정보를 모아 외부로 전송하고 관련 파일을 삭제했다. 상당수 활동은 자신의 업무 범위 안에서 이뤄졌다. 회사가 직원에게 부여한 접근권한과 기존 업무 도구가 정보유출에 이용된 것이다.
두 사건의 공통점은 AI가 내부자의 정보 수집과 반출을 돕고, 보안체계의 회피 방법을 찾는 데까지 활용됐다는 점이다.
최근 발생한 금융권연쇄 해킹 공격에서도 AI 도구의 사용 흔적이 발견되면서 AI를 이용한 사이버 공격에 대한 우려가 커졌다. AI가 해킹의 문턱을 낮추고 공격 비용을 줄일 수 있다는 경고도 잇따르고 있다.뉴스1도 [흔들린 보안시계]라는 긴급 진단 기획을 통해 AI 시대 해킹의 변화 양상을 짚었다.
그런데 기자는 여기서 한 가지 더 궁금한 점이 생겼다. '외부 해커'가 아니라, 중요한 정보가 어디에 있는지, 중요한 업무 절차가 어떻게 진행되는지, 중요 계약정보가 무엇인지 아는 '내부자'가 AI를 이용해 정보를 탈취한다면 어떻게 되는걸까.
현재 국내 기업들은 대기업과 중소기업을 가리지 않고 AI에 '진심'이다. AI를 하지 않으면 망한다는 위기감을 오너 회장이 직접 강조하면서 전사 AX를 천명한 A그룹, 직원들이 실제로 자신의 업무를 얼마나 AI 에이전트로 만들어 효율화했는지를 성과지표(KPI)에 반영하는 B그룹 등 사례는 셀 수 없다.
정부와 공공기관, 군으로 넘어가면 문제가 더 복잡하다. 기업에서 유출된 정보가 영업비밀이나 고객정보라면, 국가기관에서는 정책 결정 과정이나 국가기밀, 군사정보가 문제가 될 수 있다. AI에 맡기는 업무가 늘어날수록 그 업무에 딸린 정보의 중요성도 함께 따져봐야 한다.
기존 내부통제는 직원마다 필요한 정보에만 접근권한을 주고, 비정상적인 파일 접근이나 외부 전송을 탐지하는 데 중점을 둬 왔다. 이러한 통제는 여전히 필요하지만, 과연 AI 시대에 '충분'하다고 할 수 있을까.
더구나 조직에서 직접 통제 가능한 AI만 이용하는 것도 아니다.삼성SDS가 지난 7월 공개한 결과에 따르면 국내 기업·공공기관 재직자 1750명을 대상으로 조사한 생성형 AI 서비스 이용 건수 중 회사의 승인 없이 개인 비용으로 이용하는 비중은 38%였다.업무 자동화 시스템이나 애플리케이션을 직접 개발해 사용하는 응답자도 13%에 달했다.
AI가 등장했다고 기존 내부통제가 무력해지는 것은 아니다. 접근권한을 제한하고 민감한 자료의 외부 전송을 차단하는 보안체계는 여전히 유효하다.
다만 직원에게 허용된 권한을 AI가 대신 행사할 때는 문제가 복잡해진다. 개별적으로는 정상적인 업무라도 여러 작업이 이어지면 조직이 의도하지 않은 정보유출로 이어질 수 있기 때문이다.
기업이든 국가기관이든 구성원에게 업무를 맡기면서 그에 필요한 정보에 접근할 권한도 함께 준다. 그 권한에는 사람을 향한 신뢰가 전제돼 있다. 그런데 이제 사람은 자신에게 주어진 권한으로 AI에 일을 맡길 수 있게 됐다.
해외에서는 이미 AI를 이용한 내부자의 정보유출이 현실로 나타났다. 사람을 믿고 내준 권한이, 그 사람이 AI에 맡긴 일에까지 그대로 적용돼도 되는 것일까.
esther@news1.kr
