6일 서울 코엑스에서 열린 보안 콘퍼런스 ‘가디언즈(GUARDIANS) 26’에서 지정호 토스 최고정보보호책임자(CISO)는 “보안 조직은 위험성(리스크)을 빠르고 명확하게 파악하고, 속도감 있게 대응 방안을 설계해 조직이 변화를 받아들일 수 있도록 도와야 한다”며 “문제가 발생한다고 막는 조직이 아니라 문제를 해결하고 가능하게 하는 조직으로 변화해야 한다”고 설명했다.
6일 서울 코엑스에서 열린 보안 콘퍼런스 '가디언즈(GUARDIANS) 26'에서 주요 토스 관계자들이 인사를 하고 있다.(사진=이데일리 강민구 기자)
최근 AI는 사이버 공격의 진입장벽을 낮추고 공격자의 역량을 빠르게 끌어올리고 있다. 영국 AI보안연구소(AISI)에 따르면 32단계로 구성된 기업망 침투 시나리오에서 지난 2024년 8월 GPT-4가 평균 1.7단계를 수행하는 데 그쳤지만, 올해 2월 클로드 오퍼스 4.6은 9.8단계까지 수행할 정도로 빠르게 발전했다. 약 18개월 만에 AI의 공격 수행 능력이 6배 가까이 향상된 셈이다.
AI의 자율적인 과업 수행 능력도 빠르게 발전하고 있다. AISI는 AI가 자율적으로 수행할 수 있는 과업의 길이가 약 5개월마다 두 배씩 증가하고 있다고 분석했다.
실제 사이버 공격에서도 AI 활용이 확대되고 있다. 지 CISO는 “공격 작업을 AI가 자율적으로 수행하고, 오픈소스 자율 침투 도구로 국내 금융기관을 공격한 정황도 나타났다”고 언급했다.
취약점 발견과 악용 속도도 빨라지고 있다. 구글 위협 인텔리전스 그룹에 의하면 월간 공통 취약점·노출(CVE) 건수는 지난 1월 약 5000건에서 8월 약 1만건으로 두 배 증가했다.
국내 사이버 위협도 확대되는 추세다. 한국인터넷진흥원(KISA)에 의하면 올해 상반기 국내 침해사고 신고가 1236건으로 전년 동기 대비 19.5% 증가했다. 또 금융권 해킹 시도도 급증하는 추세다.
기업 등에서 AI 보안 위협도 커지고 있다. 승인되지 않은 AI 도구를 업무에 사용하고, 프롬프트에 입력한 내부 데이터가 외부로 나가면서 지켜야할 부분도 많아지고 있다.
반면, 기존 대응 체계로는 대응하기 쉽지 않은 실정이다. 보안 사고가 발생하면 규제가 마련되고, 이후 감사가 이뤄진뒤 보안활동이 늘어나는 방식으로 운영되고 있기 때문이다.
지 CISO는 “공격과 취약점 발견은 실시간에 가까운 속도로 이뤄지는데 기업의 패치와 보안 운영은 여전히 주간 또는 월간 단위로 움직이고 있다”며 “지금과 같은 업무 방식으로는 AI가 만들어내는 변화의 속도를 따라갈 수 없다”고 지적했다.
◇보안 솔루션 내재화하고, 투자는 지속해야
지 CISO는 AI 도입을 둘러싼 기업 보안 조직의 대응 방식에도 변화가 필요하다고 강조했다. 새로운 기술이 등장했을 때 보안 통제 수단이 없다는 이유로 사용을 전면 금지하거나, 반대로 현업의 요구에 밀려 충분한 보안 대책 없이 허용하는 방식 모두 바람직하지 않다는 것이다.
그는 “위험을 제로로 만드는 가장 쉬운 방법은 새로운 시도를 막는 것”이라며 “하지만 막으면 회사는 멈추고, 현업은 업무를 수행하기 위해 우회 방법을 찾게 된다. 결국 보안 조직은 가시성을 잃게 된다”고 말했다.
이에 토스는 새로운 기술의 위험을 구체적으로 평가하고 적절한 통제 방안을 마련한 뒤 사용을 허용하는 방식으로 보안 체계를 운영하고 있다.
대표적인 사례가 사내 AI 활용 통제다. 토스는 외부 AI 서비스가 회사의 표준 인증 체계와 연동되는지, 사용 현황을 모니터링할 수 있는지, 입력 데이터가 AI 모델 학습에 사용되지 않도록 통제할 수 있는지 등을 평가해 사용 여부를 결정한다.
내부 시스템에서 외부 AI를 이용할 때는 별도로 구축한 ‘AI 게이트웨이’를 거치도록 했다. 이를 통해 개인정보와 인증정보 등 민감정보의 외부 유출 여부를 점검하고 감사 로그를 기록한다.
AI 에이전트에 대한 접근 통제도 강화했다. AI 에이전트가 단순한 업무 보조 도구를 넘어 내부 시스템을 직접 호출하고 작업을 실행하는 권한 주체로 발전한 만큼 사전 검증과 접근 범위 제한, 권한 관리가 필요하다는 판단에서다.
비개발자가 AI를 활용해 프로그램을 제작하는 ‘바이브 코딩’ 확산에도 대응하고 있다. 토스는 업무용 바이브 코딩 산출물이 회사 외부에서 운영되지 않도록 전용 인프라를 마련했다. 보안성 심의를 거쳐 배포하도록 하고 변경 사항을 자동으로 감지해 지속적으로 점검하는 체계도 구축했다.
특히 토스는 보안 솔루션을 내재화에 대응에 나서고 있다. 지난 2022년부터 상용 솔루션을 활용해 제로트러스트 아키텍처를 운영해 왔다. 하지만 네트워크 접근을 통제하는 핵심 솔루션에서 장애가 발생할 경우 해외 공급업체에 문제 해결을 의존해야 하는 한계가 있었다.
토스는 기획자와 보안 엔지니어, 보안 연구원, 서버 및 프론트엔드 개발자 등으로 전담 조직을 구성하고, 자체 제로트러스트 네트워크 보안 솔루션 ‘타이탄(Titan)’을 개발해 새로운 위협에도 빠르게 대처하고 있다.
궁극적으로 지 CISO는 새로운 보안 위협에 대응하기 위해 기존 업무를 자동화해 업무 여력을 확보하고, 업무 효율화를 이뤄내야 한다고 봤다. 또 추가 인력과 투자의 필요성을 경영진에게 설명해야 한다고 조언했다.
하지만 이 속도보다 빠를 경우 추가 인력과 투자도 불가피하다고 설명했다. 지난 2021년부터 2025년까지 최근 5년간 토스의 정보보호 투자액은 102억원 증가해 113% 늘었다. 같은 기간 보안 인력은 22.6명 증가해 84% 확대됐다. IT 투자·인력 대비 정보보호 투자·인력 비중을 약 10% 수준으로 유지하고 있다.
지 CISO는 “보안이 혁신을 가로막지 않고 미래를 지켜내기 위해서는 위험을 신속하게 파악하고 대응 방안을 설계하는 역할을 해야 한다”며 “AI 자동화로 확보한 여력을 새로운 위협 대응에 집중하고, 부족한 부분은 사람과 투자로 채워야 한다”고 강조했다.
한편, 가디언즈는 토스가 매년 여는 보안 특화 콘퍼런스로, 보안 분야의 최신 기술과 고민을 나누는 자리다. 스타트업이 보안을 주제로 대규모 행사를 여는 사례가 드문 만큼, 보안 업계와 개발자들 사이에서 꾸준히 관심을 받아왔다. 참석자들은 AI 기반 보안관제와 위협 탐지, 제로트러스트 기반의 접근 통제와 보안 정책 운영, 레드티밍과 취약점 진단을 통한 AI 보안 등에 대한 경험을 공유하고, 대응 방안을 논의했다.
