KISA "ISMS+고영향 AI 새 인증 만들 것"

정현철 연구위원 발표…"소버린 AI 보안 기술도 확보할 것"

"인공지능(AI)을 악용한 공격, AI 모델 자체에 대한 공격 등 AI로 인한 보안 환경이 급변하고 있다. AI가 24시간, 365일 해킹을 하고 있다. 방어를 잘하고 있더라도 조금의 허점이 발견되기라도 하면 곧바로 뚫릴 수 있는 환경이 됐다"

정현철 한국인터넷진흥원(KISA) 연구위원은 5일 국회의원회관 제1소회의실에서 개최된 해킹 보안 컨퍼런스 '시큐어 코리아 2025(SecureKorea 2025)'에서 이같이 발표했다. 이날 그의 발표 주제는 'AI 시대의 사이버위협 동향과 대응 전략'이다.

정현철 한국인터넷진흥원(KISA) 연구위원이 5일 국회의원회관 제1소회의실에서 개최된 해킹 보안 컨퍼런스 '시큐어 코리아 2025(SecureKorea 2025)'에서 발표하고 있다.

그는 AI를 악용한 공격이 최근 두드러지고 있다고 진단했다. 아울러 취약점 발굴마저도 인간이 발견할 수 있는 취약점의 영역 개념을 넘어서 완전히 새로운 취약점을 AI가 발견하기도 한다고 봤다.

이에 따라 AI를 이용해서 사람을 속이는 피싱 등 공격이 늘어날 것으로 전망했다. 기존의 방어 체계도 우회할 수 있는 악성코드를 무한대로 만들어낼 수 있는 환경도 AI가 조성했다고 강조했다.

AI로 인해 보안 환경이 완전히 바뀌었으며, 국내외로도 AI발 공격에 대한 대책을 세우고 있다고 봤다. 그는 미국의 경우 AI의 무분별한 악용을 우려해 안전성, 신뢰, 책임을 강조했고, AI 위험이 국가적 위협으로 작용할 것을 우려해 AI 보안 및 범죄 대응을 강화하고 있다고 밝혔다. 한국은 AI 3대 강국 도약을 목표로 제시하며 관련 R&D, 예산을 확충하고 있는 상황이다.

이런 배경에 그는 KISA가 AI 시대에 증가하는 사이버 위협에 대응하기 위한 전략으로 ▲AI 보안 정책 및 기준 마련 ▲AI 레드팀 운영 ▲AI 취약점 발굴 및 공유 ▲AI 보안 인증 추진 ▲AI 보안 기술 및 산업 육성 ▲AI 기반 탐지 및 대응체계 고도화 등을 제시했다.

구체적으로 AI 보안 정책을 수립해 기업이 보안 취약점을 스스로 찾을 수 있도록 하고, AI 보안 인증, 기술 등을 통해 보안 거버넌스를 갖출 수 있도록 지원하겠다는 것이다. 또한 AI 레드팀, 즉 공격자의 관점에서 AI 모델의 취약점을 찾아내고, 버그바운티 제도를 통해 AI 보안 취약점을 선제적으로 찾아낼 방침이다.

특히 기존 ISMS 인증 체계에 고영향 AI도 평가한 새로운 AI 보안 인증 모델을 구축할 계획이다. AI 기반 탐지·대응체계 고도화를 위해서는 AI 기반 실시간 분석 기능과 사이버 통합 탐지체계를 결합한 사이버공격 대응 역량을 강화할 수 있는 청사진을 제시했다. 기업의 침해사고 신고 절차를 모두 자동화, 침해대응 체계 역시 AI 내재화를 추진한다.

끝으로 그는 "정부가 AI 보안 시장의 마중물 역할을 할 수 있도록 투자 및 사업 확대 지원에 나서겠다"며 "소버린 AI 역시 보안 기능이 탑재돼 있지 않으면 소버린 AI라고 할 수 없는 만큼 안보와 직결되는 소버린 AI 보안 기술도 확보할 것"이라고 강조했다.