이제 모든 직원이 AI 사이버 보안의 최전선에 있습니다

기업 보안 리더들은 조직 전체에 보안을 최우선으로 하는 공동의 사고방식을 구축하기 위해 신속하게 움직여야 합니다.

엔터프라이즈 기술 환경은 뒤늦게 깨달았을 때는 이미 늦었을 만큼 빠른 속도로 변화하고 있습니다. 우리는 이제 사람이 직접 작성한 코드와 기본적인 코파일럿 지원의 시대를 넘어, 에이전트 기반 개발 수명 주기(ADLC)의 시대로 공식적으로 진입했습니다. 자율형 AI 에이전트는 다양한 기능 전반에 걸쳐 전례 없는 효율성을 약속하지만, 동시에 완전히 새로운 차원의 보안 및 규제 위험을 야기합니다.

진정한 사이버 위협은 아직 먼 미래의 일이라고 생각하시나요? 최근 발생한 Hugging Face 대상 OpenAI 에이전트 공격과 대부분의 AI 기업들이 유사한 사건에 대해 후속 공개한 내용, 그리고 앤스로픽(Anthropic) CEO가 언급한 "속도 조절"에 대한 메시지는 우리 대부분이 자율적으로 실행되어 소프트웨어 공급망에 영향을 미칠 수 있는 위협에 대해 얼마나 무방비 상태인지 여실히 보여주었습니다. 내부 평가 과정에서 AI 에이전트 무리는 스스로 협력하고, 자동화된 채점 시스템을 역공학하며, 명령 기록을 위조하고, 심지어 취약점을 악용하여 연구 클러스터에 대한 관리자 권한을 획득하는 모습을 보였습니다. 자율 시스템이 서로 협력하고, 스스로를 희생하며, 흔적을 숨길 수 있게 된 지금, 우리는 기존의 보안 경계가 더 이상 유효하지 않다는 사실을 깨달아야 합니다.

동시에 이러한 힘은 엔지니어링 분야에만 국한되지 않습니다. 우리는 로우코드, 노코드, 그리고 AI 기반의 "바이브 코딩(vibe coding)" 도구를 사용하는 비기술직 직원, 즉 "시티즌 개발자"의 폭발적인 증가를 목격하고 있습니다. 경영 지원팀 직원이 무엇을 하는지도 정확히 모른 채 GitHub에 코드를 커밋하고(실제로 제 회사에서 일어난 일입니다), 영업 운영팀은 자신들만의 "커맨드 센터"를 구축했다며 API 키를 요청합니다. 심지어 클로드(Claude)는 섀도우 IT 인프라에 이를 배포하라고 권장하기도 하죠. 지난 주말, 저 역시 세차를 하거나 장을 보는 동안 챗봇과 대화하는 것만으로 25달러도 안 되는 비용을 들여 커뮤니티 웹사이트를 구축했습니다. 결과물은 전문 소프트웨어 개발자가 몇 주 동안 작업해야 할 수준처럼 보였습니다. Lovable은 심지어 "오래된 패키지"나 "인젝션 공격"에 대해 알림을 보내주었고, 일부는 정확하게 수정하기까지 했습니다. 물론 그렇지 못한 부분도 있어 수동 개입이 필요했지만 말입니다. 

‍가트너(Gartner)는 2026년까지 대기업 내 시티즌 개발자의 수가 전문 개발자보다 4배 더 많아질 것이며, 새로 출시되는 애플리케이션의 70%는 기존 IT 부서가 지원할 수 있는 속도보다 5배 빠르게 증가하는 수요를 충족하기 위해 로우코드 및 노코드 플랫폼을 사용할 것으로 예측했습니다.

이러한 비즈니스 주도의 디지털 전환은 민첩성을 높여주지만, 동시에 공격 표면을 기하급수적으로 확대합니다. 비기술직 직원들은 민감한 소스 코드를 일상적으로 다루며, 독점 데이터를 승인되지 않은 외부 AI 모델에 노출하고, 보이지 않는 종속성을 가진 바이브 코딩 앱을 배포하고 있습니다.

새로운 글로벌 규제인 EU AI 법과 같은 환경에서 가이드라인 없는 이러한 "바이브 코딩"은 규정 준수 실패로 가는 지름길입니다. EU AI 법은 엄격한 책임성, 투명성, 그리고 인간의 감독을 요구합니다. 조직은 더 이상 섀도우 AI, 사용 중인 모델의 보안 격차, 또는 누가 도구를 사용하고 있는지, 그리고 그들이 자신의 역할에 필요한 보안 모범 사례를 알고 있는지에 대한 가시성을 외면할 수 없습니다.

Secure Code Warrior 는올 한 해 동안 이 새로운 패러다임을 관리하기 위한 기반을 구축하는 데 힘써왔습니다. 올해 초, 우리는 SCW AI 도입 모델을 발표하여 CISO들에게 기존 SDLC에서 ADLC로 안전하게 전환할 수 있는 실질적인 로드맵을 제공했습니다. 우리는 또한 SCW AI 신뢰 지수, "LLM이 실제로 100% 안전한 코드를 제공할 수 있을까? 그리고 모델 간의 차이는 어떨까?"라는 질문에 답합니다. 당사는 16개의 최첨단 모델을 통해 생성된 1,760개의 코드베이스를 분석한 결과, AI 생성 코드에는 코드베이스당 평균 15개의 확인된 취약점이 포함되어 있으며, 그중 4.3개는 "심각" 수준인 것으로 나타났습니다. 당사는 적응형 학습을 제공합니다. 이는 위험이 발생하는 즉시 개발자 워크플로우에 정밀한 마이크로러닝을 주입하여, EU AI 법, ISO/IEC 42001 및 NIST AI 위험 관리 프레임워크 준수를 뒷받침하는 개발자별 교육 증빙 자료를 제공합니다.

하지만 개발자의 보안을 확보하는 것만으로는 절반의 성공에 불과합니다. 57%의 조직이 핵심 프로세스에 AI를 도입했음에도 불구하고, 인력이 준비되었다고 믿는 조직은 23%에 불과하다는 점은 거대한 인적 위험 격차를 보여줍니다.

직장 내에서 누구나 무분별하게 무언가를 만들어내는 상황에서 발생하는 위험을 모든 CISO와 L&D 팀이 관리할 수 있도록, 당사는 Secure Code Warrior의 Citizen AI를 출시합니다.

Citizen AI는 비개발자 비즈니스 팀을 위해 특별히 설계된 획기적인 AI 보안 리터러시 프로그램입니다. 이 프로그램은 조직이 수동적인 정책을 넘어 모든 직원에게 AI 기반 워크플로우를 안전하게 탐색하는 데 필요한 실무 기술과 책임감 있는 습관을 갖추게 하며, 기업의 전반적인 AI 거버넌스 및 규제 준수를 지원합니다.

출시 커리큘럼은 다음 네 가지 핵심 영역에 중점을 둡니다:

1. AI 작동 원리 이해: LLM의 단어 예측 특성을 파악하고 검색 엔진과의 차이점을 알아봅니다.
2. 스마트 프롬프팅 및 결과 검증: 환각 현상을 식별하는 방법과 출처 프롬프팅을 사용하여 AI의 주장을 검증하는 방법을 배웁니다.
3. AI 아티팩트 관리: 타사 자동화 도구 및 보이지 않는 종속성으로 인한 위험을 인식합니다.
4. 바이브 코딩(Vibe-Coding) 위험 인식: 바이브 코딩으로 제작된 웹사이트나 앱에 전문적인 엔지니어링 및 보안 감독이 필요한 시점을 파악합니다.

Citizen AI를 통해 당사는 보안을 사후 대응적인 기술 통제에서 조직 전체의 선제적인 습관으로 변화시키고 있습니다. 우리 시대의 가장 압도적인 기술 발전을 안전하고 규정을 준수하며 빠르게 혁신할 수 있는 AI 준비 인력을 함께 만들어 갑시다.