OAK "사람·기계·AI 통합 신원 관리 플랫폼으로 세계 공략"

[텔아비브(이스라엘)=박광하 기자] 이스라엘 보안 스타트업 OAK의 샤이 모라그 최고경영자(CEO)가 12일(현지시간) "인공지능(AI) 에이전트를 사람이나 기계와 다른 새로운 신원으로 다뤄야 한다"고 말했다. 신원은 회사 시스템에 접속하거나 작업을 수행하는 권한을 가진 계정을 뜻한다. OAK는 이 신원을 한곳에서 보고 관리하고 지키는 플랫폼을 만들고 있다. 올해 6000만 달러(약 798억원)를 투자받았다.

모라그 CEO는 이날 이스라엘 외교부 초청 기자단과의 만남에서 자신이 이스라엘군 정보부대 8200부대 출신이라고 소개했다.

샤이 모라그 OAK CEO가 사이버보안에 대해 ”방어는 필요한 때 필요한 만큼만 권한을 주는 것”이라고 말하고 있다. (사진=지디넷코리아)

이후 회사를 세워 세 번 매각했다. 첫 회사는 2014년 멜라녹스에 넘겼다. 멜라녹스는 지금 엔비디아 소속이다. 두 번째 회사 섹도는 2018년 팔로알토네트웍스에, 세 번째 회사 에르메틱은 2023년 테너블에 팔았다. 에르메틱 매각 후에는 테너블에서 최고제품책임자(CPO)로 일했다. 약 1년 전 테너블을 나와 OAK를 설립했다.

모라그 CEO는 AI 시대에 신원이 달라졌다고 설명했다. 예전 기계 계정은 정해진 대로 빠르게 움직였다. 지금은 AI 에이전트가 예측하기 어려운 행동을 하면서 빠르기 또한 기계 속도만큼 일한다. 그는 "에이전트가 똑똑하지만 세 살 아이처럼 순진해서 쉽게 조종당할 수 있다"고 지적했다.

이어 기존 신원 관리 제품 대부분이 사람에게 맞춰져 있다고 지적했다. 그는 공격자가 AI를 쓰는 상황도 짚었다. 앤트로픽이 9월 낸 보고서를 언급하며, 이 회사의 가장 큰 걱정은 에이전트가 폭주하는 것보다 사람이 AI를 공격에 쓰는 것이라고 말했다. 러시아가 우크라이나를 노린 사이버 공격에 앤트로픽이 제공하는 AI 모델을 쓰려 했는데, 앤트로픽이 이런 시도를 알아채 막았다고도 했다.

앤트로픽은 9월 10일 공개한 보고서에서 러시아 국가와 연계된 것으로 평가한 조직의 활동을 차단했다고 밝혔다. 이 조직은 20곳 넘는 기관을 노렸고 우크라이나 정부기관 24곳 넘게를 훑었다. 탐지된 악성코드를 AI로 고쳐 다시 쓰기도 했다.

모라그 CEO는 "예전에는 취약점이 발견돼도 치명적이지 않으면 3개월 정도 보안 패치를 미룰 수 있었지만, AI가 어떻게든 그 틈을 찾아내는 지금은 통하지 않는다"며 "이제는 15세 아이도 AI로 국가급 해킹을 할 수 있는 시대가 왔다"고 말했다.

OAK의 목표는 사람, 기계, AI 에이전트의 신원을 하나의 자율 플랫폼에서 관리하는 것이다. 기존 신원 거버넌스(IGA), 특권접근관리(PAM) 제품을 한데 묶어 대체하겠다는 구상이다.

제품은 세 계층으로 구성했다. 첫째는 연결 계층이다. 클라우드, 회사 내부 서버, 각종 앱을 모두 이어 신원 정보를 모은다. 새 앱용 연결 도구는 AI 에이전트가 몇 시간 만에 만든다.

지능 계층은 모은 정보에서 중복을 지우고 형식을 맞춘 뒤, 여러 곳에서 온 계정 정보가 서로 같은 대상인지 맞춰 본다.

맨 위에는 에이전트 계층이 있다. OAK는 이 AI 에이전트를 도토리를 뜻하는 '어콘(acorn)'이라고 부른다. 보안팀이 적은 인원으로도 더 많은 일을 하도록 돕는 보조 역할을 한다.

어콘은 권한이 지나치게 큰 계정과 퇴사자 계정을 찾아 위험을 줄이는 일을 한다. 현재는 일부 사례를 AI가 스스로 처리하고, 정책에 따라 사람이 확인하는 단계를 둔다. 앞으로는 접근 요청과 신입 직원의 역할 부여도 AI 에이전트가 결정하게 할 계획이다. 목표는 사람이든 AI든 무언가에 접근하려 할 때 OAK가 위험과 상황을 따져 허용 여부를 정하는 것이다.

그는 사이버보안에 대해 "방어는 필요한 때 필요한 만큼만 권한을 주는 것"이라고 말한다. 제로 트러스트의 기본 원칙이다.

모라그 CEO는 "계정이 털려도 그 순간 권한이 없으면 피해가 없고, 있더라도 범위가 좁으면 피해가 작다"고 설명하면서 "평소 권한을 최소로 줄이는 것이 목표"라고 밝혔다.

그러면서 OAK가 기술력을 인정받아 6000만 달러(약 800억원)를 올해 초 유치했다고 말했다. 투자자는 그레이록, 액셀, CRV, 헤츠벤처스, 알파드라이브와 이스라엘 소규모 벤처캐피털이다. OAK는 7월 15일 사업 내용을 비공개로 두는 단계인 '스텔스 모드'를 끝내고 공식 출범하면서 이 같은 투자유치 사실을 공개했다.