"AI가 보안 판 흔든다"…가트너가 찍은 4대 사이버 위협은

딥페이크부터 공급망까지…AI 확산에 기업 보안 대응 부담 커져

인공지능(AI) 확산으로 사이버 위협 환경이 빠르게 재편되면서 기업 보안 조직의 대응 부담이 커지고 있다는 분석이 나왔다.

가트너는 공격자가 조직의 취약점을 악용해 우위를 점할 수 있는 4대 주요 사이버 위협으로 ▲딥페이크 ▲AI 애플리케이션 침해 ▲프롬프트 인젝션 ▲소프트웨어 공급망 리스크를 선정했다고 9일 밝혔다.

이번 선정은 각 위협에 대해 공격자가 활용할 수 있는 정보의 양과 질을 뜻하는 '위협 신호'와 조직이 해당 위협을 얼마나 효과적으로 관리할 수 있는지를 나타내는 '대응 역량'을 기준으로 이뤄졌다. 가트너는 이를 바탕으로 2026~2027년 사이버 위협 환경을 6개 영역으로 분류했다.

가장 높은 우려 대상으로는 딥페이크가 꼽혔다. 생성형 AI 기술 고도화로 음성·영상 합성이 정교해지면서 기존 생체인증과 신원 확인 체계가 무력화될 수 있다는 우려가 커지고 있어서다. 임직원 사칭, 경영진 사칭 송금 요청, 채용·고객 인증 절차 악용 등이 대표적 위험으로 거론된다.

2026~2027 사이버 위협 환경 (이미지=가트너)

AI 애플리케이션 침해와 프롬프트 인젝션도 주요 위협으로 지목됐다. 기업들이 대규모언어모델(LLM) 기반 챗봇과 업무 자동화 도구를 빠르게 도입하면서 악성 명령 삽입, 데이터 유출, 권한 오남용 가능성이 커지고 있기 때문이다. 프롬프트 인젝션은 AI 시스템이 공격자가 설계한 지시를 정상 명령처럼 처리하도록 유도할 수 있어 기존 보안 통제 밖에서 발생하는 리스크로 부상하고 있다.

소프트웨어 공급망 리스크도 새롭게 주목해야 할 위협으로 제시됐다. 오픈소스, 외부 개발 도구, 클라우드 서비스 의존도가 높아진 가운데 AI 개발 생태계까지 복잡해지면서 특정 구성 요소의 취약점이 전체 시스템 리스크로 번질 수 있다는 지적이다.

가트너는 AI 위협을 별도 보안 과제로 떼어내기보다 기존 보안 체계 안에 녹여 대응해야 한다고 강조했다. 딥페이크와 프롬프트 인젝션 같은 새로운 공격이 랜섬웨어, 피싱, 계정 탈취 등 기존 위협과 맞물리면서 보안 조직의 대응 범위가 넓어지고 있어서다. 기업 입장에선 AI 도입 속도에 맞춰 인증 체계와 애플리케이션 보안, 공급망 관리 기준을 함께 손볼 필요가 커졌다.

존 왓츠 가트너 VP 애널리스트는 "AI 기업들이 보안 이니셔티브를 도입하면서 기존에도 복잡했던 위협 환경에 혼란이 가중되고 있다"며 "사이버보안 책임자는 이러한 혼란 속에서도 위협 신호를 식별해 위협 환경의 변화에 기민하게 대응해야 한다"고 말했다.