인공지능(AI)이 소프트웨어 취약점을 찾아내고 사이버 공격에 악용하는 속도가 빨라지면서 기업의 보안 대응에도 변화가 요구되고 있다. 공격자가 취약점을 악용하기 전에 방어자가 AI를 활용해 먼저 찾아내고 수정하는 것이 핵심이다.

19일 AI 업계에 따르면 오픈AI는 지난 16일 서울 웨스틴 서울 파르나스에서 국내 기업 최고정보보호책임자(CISO) 등 임원급 60여 명을 대상으로 '사이버 CXO 라운드테이블'을 열고 AI 기반 사이버 방어 전략을 제시했다.

이날 오픈AI가 강조한 것은 공격자와 방어자 사이의 '시간 경쟁'이다.

AI가 소프트웨어 취약점을 발견하고 공격 경로를 분석하는 능력이 발전하면서 기업이 공격에 대응할 수 있는 시간이 줄어들고 있다는 판단이다.

오픈AI는 지난 8월 홈페이지를 통해 공개한 '방어자의 기회'(The Defender's Window)에서도 AI가 오래된 소프트웨어 결함이나 방치된 접근 권한을 찾아 악용하기 쉬워졌다고 지적했다.

다만 방어자에게도 기회는 있다. 공격자와 달리 방어자는 자신이 관리하는 시스템의 소스코드와 운영 환경, 접근 권한을 AI에 제공할 수 있기 때문이다. 이를 활용하면 공격이 발생하기 전에 취약점을 발견하고 수정할 수 있다.

오픈AI가 제시한 해법은 통합 사이버 방어 솔루션 '데이브레이크'(Daybreak)다. AI 모델과 코덱스, 코덱스 시큐리티 등을 기존 보안 업무에 연결해 취약점 탐지부터 검증·수정까지 지원한다.

기존 보안 솔루션이 취약점이나 이상 징후를 발견해 담당자에게 알리는 데 집중했다면 데이브레이크는 실제 공격 가능성을 검증하고 수정안을 마련해 효과를 확인하는 과정까지 연결한다.

오픈AI는 자체 보안 운영 체계인 '디펜스 팩토리' 구축 경험도 공개했다. AI 에이전트가 반복적으로 보안 문제를 점검하고 개발팀과 보안팀이 수정·검증을 이어가는 구조다.

오픈AI는 초기 보안 경보 대부분을 AI가 먼저 분석하도록 하고 있다. 담당자는 AI의 판단을 검토하고 중요한 의사결정에 집중한다.

문제는 AI에 어디까지 권한을 부여하느냐다. 보안 AI가 기업 내부 코드와 시스템에 접근하는 만큼 잘못된 판단이나 과도한 권한 부여가 새로운 위험으로 이어질 가능성도 있다.

이에 오픈AI는 AI의 접근 범위를 제한하고 중요한 시스템 변경에는 사람의 승인을 거치라고 권고했다. 보안 성과 역시 탐지 건수가 아니라 실제 위험을 얼마나 빠르게 줄였는지로 평가해야 한다는 설명이다.

사이버보안이 기술 부서만의 문제가 아닌 경영진의 의사결정 영역으로 확대되고 있다는 의미다. 오픈AI가 이사회 구성원을 대상으로 공개한 가이드 역시 AI 보안 거버넌스와 투자 효과를 점검할 9개 질문을 제시한다.

김경훈 오픈AI 코리아 총괄 대표는 "AI 시대에 기업이 주요 보안 위험을 빠르게 파악하고 대응하려면 사이버보안을 핵심 경영 과제로 다뤄야 한다"고 말했다.

Kris@news1.kr