이제 모든 직원이 AI 사이버 보안의 최전선에 있습니다

기업 보안 리더들은 조직 전체에 걸쳐 보안을 최우선으로 하는 집단적 사고방식을 구축하기 위해 신속하게 움직여야 합니다.

엔터프라이즈 기술 환경은 너무 늦기 전까지는 아무도 예상하지 못한 속도로 변화하고 있습니다. 우리는 공식적으로 사람이 직접 작성한 코드와 기본적인 코파일럿 지원의 시대를 지나 '에이전트 기반 개발 수명 주기(ADLC)'의 시대로 진입했습니다. 자율형 AI 에이전트는 여러 기능 전반에 걸쳐 전례 없는 효율성을 약속하지만, 동시에 완전히 새로운 차원의 보안 및 규제 위험을 야기합니다.

진정한 사이버 위험이 아직 몇 년은 남았다고 생각하시나요? 최근 발생한 Hugging Face 대상 OpenAI 에이전트 공격과 이후 대부분의 AI 기업이 유사한 사건에 대해 공개한 내용, 그리고 Anthropic CEO가 언급한 '속도 조절'에 대한 메시지는 우리 대부분이 자율적으로 실행되어 소프트웨어 공급망에 영향을 미칠 수 있는 위협에 얼마나 무방비 상태인지 여실히 보여주었습니다. 내부 평가 과정에서 AI 에이전트 무리는 창발적 협력, 자동화된 채점 시스템의 리버스 엔지니어링, 명령 기록 위조, 심지어 취약점을 악용하여 연구 클러스터에 대한 관리자 권한을 획득하는 모습까지 보였습니다. 자율 시스템이 서로 협력하고, 스스로를 희생하며, 흔적을 숨길 수 있게 된 지금, 우리는 기존의 보안 경계가 더 이상 유효하지 않다는 사실을 깨달아야 합니다.

동시에 이러한 힘은 엔지니어링 분야에만 국한되지 않습니다. 우리는 로우코드, 노코드, 그리고 AI 기반의 '바이브 코딩(vibe coding)' 도구를 사용하는 비기술직 직원, 즉 '시티즌 개발자'의 폭발적인 증가를 목격하고 있습니다. 경영 지원 담당자가 (실제로 제 회사에서 일어난 일입니다만) 그 의미를 제대로 이해하지 못한 채 GitHub에 코드를 커밋하고 있습니다. 영업 운영팀은 자신들만의 '커맨드 센터'를 구축했다며 API 키를 요구하고, Claude는 이를 섀도우 IT 인프라에 배포하라고 권장합니다. 주말 동안 저 역시 세차를 하거나 장을 보는 틈틈이 채팅만으로 Lovable을 사용해 커뮤니티 웹사이트를 만들었습니다. 결과물은 전문 소프트웨어 개발자가 몇 주 동안 작업해야 했을 법한 수준이었습니다. 심지어 Lovable은 제게 '오래된 패키지'와 '인젝션 공격'에 대해 알림을 보내주었고, 일부는 정확하게 수정해주기까지 했습니다. 물론 그렇지 못한 부분도 있었고, 이는 수동 개입이 필요했습니다.

‍가트너(Gartner)의 추산에 따르면 2026년까지 대기업의 시티즌 개발자 수는 전문 개발자 수의 4배에 달할 것이며, 새로 출시되는 애플리케이션의 70%는 기존 IT 부서가 지원할 수 있는 속도보다 5배 빠르게 증가하는 수요를 충족하기 위해 로우코드 및 노코드 플랫폼을 사용할 것입니다.

이러한 비즈니스 주도의 디지털 전환은 민첩성을 높여주지만, 동시에 공격 표면을 기하급수적으로 확대합니다. 비기술직 직원이 민감한 소스 코드를 일상적으로 다루면서 독점 데이터가 승인되지 않은 외부 AI 모델에 노출되고, 보이지 않는 종속성을 가진 '바이브 코딩' 앱이 배포되고 있습니다.

EU AI 법(EU AI Act)과 같은 새로운 글로벌 규제 하에서, 가이드라인 없는 이러한 '바이브 코딩'은 규정 준수 실패로 가는 지름길입니다. EU AI 법은 엄격한 책임성, 투명성, 그리고 인간의 감독을 요구합니다. 조직은 더 이상 섀도우 AI, 사용 중인 모델의 보안 격차, 또는 누가 도구를 사용하고 있는지, 그들이 자신의 역할에 필요한 보안 모범 사례를 알고 있는지에 대한 가시성을 외면할 수 없습니다.

저희 Secure Code Warrior는 올해 이 새로운 패러다임을 관리하기 위한 기반을 구축하는 데 힘써왔습니다. 올해 초, 저희는 SCW AI 도입 모델(SCW AI Adoption Model)을 도입하여 CISO들에게 기존 SDLC에서 ADLC로 안전하게 전환할 수 있는 실질적인 로드맵을 제공했습니다. 또한 SCW AI 신뢰 지수(SCW AI Trust Index)를 출시하여 "LLM이 실제로 100% 안전한 코드를 제공할 수 있는가? 그리고 모델 간의 차이는 어떠한가?"라는 질문에 답했습니다. 16개의 최첨단 모델에 걸쳐 1,760개의 AI 생성 코드베이스를 분석한 결과, AI 생성 코드에는 코드베이스당 평균 15개의 확인된 취약점이 포함되어 있으며, 그중 4.3개는 '심각'한 수준으로 분류되었습니다. 저희는 적응형 학습(Adaptive Learning)을 제공하여 개발자가 위험을 초래하는 바로 그 순간에 정밀한 마이크로러닝을 주입합니다. 이를 통해 EU AI 법, ISO/IEC 42001, NIST AI 위험 관리 프레임워크 준수를 뒷받침하는 개발자별 감사 가능한 교육 증거를 제공합니다.

하지만 개발자를 보호하는 것만으로는 절반의 성공에 불과합니다. 조직의 57%가 핵심 프로세스에 AI를 도입했음에도 불구하고, 자신의 인력이 준비되었다고 믿는 조직은 23%에 불과하다는 것은 우리가 엄청난 인적 위험 격차를 안고 있음을 의미합니다.

직장 내에서 수많은 비전문가가 무언가를 만들어내는 상황에서 발생하는 위험을 모든 CISO와 L&D 팀이 관리할 수 있도록, 저희는 Citizen AI by Secure Code Warrior를 출시합니다.

Citizen AI는 비개발자 비즈니스 팀을 위해 특별히 설계된 획기적인 AI 보안 리터러시 프로그램입니다. 이 프로그램은 조직이 수동적인 정책을 넘어, 모든 직원이 AI 기반 워크플로우를 안전하게 탐색하는 데 필요한 실무 기술과 책임감 있는 습관을 갖추도록 돕는 동시에, 더 넓은 범위의 엔터프라이즈 AI 거버넌스 및 규제 준수를 지원합니다.

저희의 초기 커리큘럼은 다음 네 가지 핵심 영역에 중점을 둡니다:

1. AI 작동 원리 이해: LLM의 단어 예측 특성과 검색 엔진과의 차이점 파악.
2. 스마트 프롬프팅 및 결과 검증: 환각 현상을 식별하고 출처 프롬프팅을 사용하여 AI 주장을 검증하는 방법 학습.
3. AI 아티팩트 관리: 타사 자동화 및 보이지 않는 종속성으로 인한 위험 인식.
4. 바이브 코딩 위험 인식: 바이브 코딩으로 제작된 웹사이트나 앱이 전문 엔지니어링 및 보안 감독을 필요로 하는 시점 파악.

Citizen AI를 통해 우리는 보안을 사후 대응적인 기술 통제에서 조직 전체의 선제적인 습관으로 변화시키고 있습니다. 우리 시대의 가장 압도적인 기술 발전을 안전하고 규정을 준수하며 신속하게 혁신으로 이끄는 AI 준비 인력을 함께 만들어 갑시다.