[인터뷰] 美 DARPA AI 사이버 챌린지 1위 이끈 김태수 마이크로소프트 부사장 “AI 모델보다 중요한건 운영 체계와 거버넌스” 작성일 08-08 36 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">8월 26일 ‘스마트클라우드쇼 2026′서 기조강연<br>美 DARPA AI 사이버 챌린지 우승팀 이끈 김 부사장 “방어자, 공격자와 비슷한 능력 갖기 시작”<br>韓 세계적 인재 환경 차이로 해외행… AI 연구·산업 생태계 구축 필요</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="f25EdinQon"> <p contents-hash="5636612980bc115ce93c5c10b04e495a8804616aeb2fa646e1f5d0352e5a02df" dmcf-pid="4V1DJnLxAi" dmcf-ptype="general">“지금까지 보안은 기본적으로 공격자가 유리한 게임이었습니다. 하지만, 방어자가 인공지능(AI) 덕분에 방대한 공격 코드를 지치지 않고 훑을 수 있게 됐죠. 방어자가 처음으로 공격자와 비슷한 규모의 능력을 갖기 시작했습니다. 1~2년 후에는 코드를 가진 방어자가 AI를 이용해 공격 시나리오를 시험해 취약점을 미리 고칠 수 있을 것입니다.”</p> <p contents-hash="716c0e6bfe6ac3037fca3e56e141cba38ead43969bf2fb6923f9dd991492b80c" dmcf-pid="860soaNdAJ" dmcf-ptype="general">미국 정부는 최근 앤트로픽의 AI 모델 ‘미토스(Mythos)’의 공개 범위에 빗장을 걸었다. AI가 인간보다 빠르게 소프트웨어 취약점을 찾아내 사이버 공격에 악용될 수 있다는 우려에서다. AI는 사이버보안에서 ‘양날의 검’이다. 해커는 AI를 이용해 상대의 취약점을 더 빠르게 찾아 공격을 고도화할 수 있고, 방어자는 같은 기술을 활용해 공격 전에 취약점을 발견해 방어할 수 있다. 시스템 보안과 AI 기반 사이버보안 분야의 세계적 권위자인 김태수 마이크로소프트(MS) 부사장(조지아공대 컴퓨터공학과 교수)은 지난 7일 조선비즈와의 서면인터뷰에서 AI가 변화시킬 보안 패러다임에 대해 “공격과 방어가 기계 속도로 빠르게 움직이는 시대가 열렸다”며 이같이 말했다.</p> <p contents-hash="de16ceca632fc3d8fd4cc605365d2c6bbcbfb2ddd516abcd5b844b2bc813a24f" dmcf-pid="6PpOgNjJkd" dmcf-ptype="general">지금까지 공격자는 시스템 전체에서 약한 곳 한 군데만 찾으면 됐지만, 방어자는 모든 곳을 지켜내야 했다. 예전에는 사람이 공격 코드 전체를 다 살펴보는 것이 불가능했지만, AI로 방어자의 힘이 커졌다. 김 부사장은 “다만, 취약점 후보를 많이 찾는 것만으로는 방어가 되지 않는다”며 “발굴, 검증, 증명, 패치(수정)가 하나의 루프로 연결돼 오탐을 줄여야 한다. 실제 악용 가능성을 확인하고 우선순위를 정해 조치하는 체계가 필요하다”고 했다. 이어 “향후에는 AI가 스스로 보안 연구를 수행하는 단계로 발전해야 한다”고 했다.</p> <p contents-hash="118f505147a58b8102b4a7a2f1f31d11f3912dbb6ffaeca9ef370a976b85139c" dmcf-pid="PQUIajAige" dmcf-ptype="general">김 부사장은 현재 조지아공대 교수직을 휴직하고 MS에서 에이전트형 보안연구를 하고 있다. 그는 2025년 미국 국방고등연구계획국(DARPA)이 개최한 AI 사이버 챌린지(AIxCC)에서 ‘팀 애틀랜타(Team Atlanta)’를 이끌어 세계 1위를 차지했다. 이 대회는 AI를 활용해 소프트웨어 취약점을 자동으로 탐지하고 패치하는 기술을 겨루는 세계 최고 권위의 사이버보안 대회다. 김 부사장은 2021년 만 36세의 나이로 삼성리서치 상무(임원)에 발탁됐던 인물이기도 하다. 당시 삼성리서치에서 AI·사이버보안 연구를 이끌었다. 그는 이달 26일 서울 소공동 웨스틴조선호텔에서 열리는 국내 최대 테크 콘퍼런스 ‘스마트클라우드쇼 2026’에 기조연설자로 참여한다. 다음은 그와의 일문일답.</p> <figure class="figure_frm origin_fig" contents-hash="89927777a0385aee16021d5eb91482f785108e84f47bada7019fe2dd8288407f" dmcf-pid="QxuCNAcnaR" dmcf-ptype="figure"> <p class="link_figure"><img alt="김태수 마이크로소프트 부사장./본인 제공" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/08/chosunbiz/20260808060255043fmav.jpg" data-org-width="3586" dmcf-mid="9uQK1F3Gcg" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/08/chosunbiz/20260808060255043fmav.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 김태수 마이크로소프트 부사장./본인 제공 </figcaption> </figure> <p contents-hash="321748f42b52e48a59c608438ddd349946088aa174dce0b3ac0d05b388ff7b70" dmcf-pid="xM7hjckLkM" dmcf-ptype="general"><strong>◇ “美, 中보다 훨씬 폐쇄적… 사람이 읽지 못하는 코드가 가장 위험한 코드”</strong></p> <p contents-hash="368901cbe8169bb0f11261300b3b229e5e14f2ea70fac787444402bd3c5bf4eb" dmcf-pid="yWk4pu71ox" dmcf-ptype="general"><strong>—앤트로픽 미토스가 제한적으로 공개된 데 이어 미국 정부가 추가 공개까지 막았다. </strong></p> <p contents-hash="011a5a45dd8c0bbb2fae97618bf3c7c19086784e98b9cb65993ea2f1318309dc" dmcf-pid="WYE8U7ztgQ" dmcf-ptype="general">“공격자는 어떤 방식으로든 AI 역량을 확보하는 반면, 방어자만 접근이 제한되면 오히려 공격자에게 유리한 비대칭이 생길 수 있다. 그래서 공개를 무조건 막기보다 검증된 방어 목적의 활용은 폭넓게 허용하되, 위험한 기능은 통제하는 정교한 설계가 필요하다. 미국은 중국보다 훨씬 폐쇄적인 경향이 강하다. 안정적으로 압도적인 우위를 점한 기업이나 국가가 없는 상황에서 미국이 기술을 계속 닫아두고 중국 기술만 개방된다면, 장기적으로는 중국 기술이 글로벌 연구와 개발의 기준점이 될 가능성이 있다. 한국 기업도 단순히 AI 모델에 대한 접근 권한을 받느냐 못 받느냐에 머물러서는 경쟁력을 확보하기 어렵다. 검증된 방어 목적의 활용 역량과 글로벌 협력, 자체 평가 능력, 산업별 보안 운영 경험을 함께 갖춘다면 충분히 경쟁 우위를 만들 수 있다. 결국 중요한 것은 핵심 모델을 보유했느냐가 아니라, 강력한 AI를 안전하게 활용할 수 있는 운영 체계와 거버넌스를 갖추고 있느냐다.”</p> <p contents-hash="15be587228121fced9415c6bf2fd44a73676e0ad59bc47cf7cd7f3b361f8a5b5" dmcf-pid="YGD6uzqFaP" dmcf-ptype="general"><strong>―구체적으로 한국은 미토스 사태에 어떻게 대응해야 하나.</strong></p> <p contents-hash="e74a1d17af56e278832ef668aa867438e42a611e4ad3756abd9fb99ddd66b6cf" dmcf-pid="GHwP7qB3c6" dmcf-ptype="general">“사람이 읽지 못하는 코드가 가장 위험한 코드다. 기간망이나 금융, 공공 시스템에는 개발자가 이미 회사를 떠났거나 관련 문서가 부족한 오래된(레거시) 코드가 많이 남아 있다. AI는 이렇게 ‘읽을 사람이 사라진 코드’를 다시 분석할 수 있다는 점에서 단순한 효율화 도구가 아니라 사라져가는 전문성을 복원하는 도구가 될 수 있다. 한국이 가장 먼저 할 일은 첫째로 레거시 코드를 중심으로 AI 기반의 사전 감사다. 공격자가 AI로 시스템을 분석하기 전에 방어자가 먼저 자기 코드에 AI를 적용해야 한다. 방어자가 소스코드와 운영 환경을 모두 알고 있다는 정보 우위를 적극 활용해야 한다는 이야기다. 두 번째는 취약점 발견부터 수정까지 이어지는 폐쇄형 루프(closed loop)를 구축해야 한다. 취약점을 찾는 것은 절반이고, 이를 수정하는 것이 나머지 절반이다. 단순히 취약점을 많이 찾아내는 시스템보다 이를 검증하고 실제 조치까지 연결하는 체계가 더 중요하다. 마지막으로 우선순위 체계를 갖추는 것이다. AI는 수천 개의 취약점 후보를 찾아낼 수 있지만, 무엇을 먼저 대응해야 하는지를 판단하는 체계가 없으면 오히려 새로운 병목이 생긴다. 결국 한국도 AI 기반 사전 감사에서 시작해 검증과 패치, 우선순위화까지 이어지는 통합 방어 체계를 구축하는 방향으로 대응해야 한다.”</p> <p contents-hash="725fb73367c0f2e879a88a478d80df1b6ecde3f1dd40a416d729a2f554691ce1" dmcf-pid="HXrQzBb0a8" dmcf-ptype="general"><strong>—MS도 취약점 탐지 시스템 ‘M-DASH’를 선보였다. 차별점은.</strong></p> <p contents-hash="1e381ad8cdbccf34c2c1bc40210add806a2291d324787e0585b54ce19a32ea70" dmcf-pid="XZmxqbKpA4" dmcf-ptype="general">“M-DASH는 하나의 모델에 판단을 맡기는 방식이 아니라, 여러 모델과 100개 이상의 특화 에이전트가 역할을 나눠 취약점을 발견하고 검증하며 재현 가능성까지 확인하는 구조다. 이를 통해 단일 모델의 한계를 보완하고 더 복잡한 구조적 취약점까지 찾아낼 수 있다. 앞으로 AI 보안 경쟁은 단순히 가장 큰 모델을 확보하는 것보다 각 모델의 강점을 어떻게 조합하고 실제 문제 해결에 맞는 시스템을 설계하느냐가 중요해질 것이다. 한국 보안 기업들도 자체 모델 개발뿐 아니라 다양한 AI 모델과 에이전트를 활용해 효율적인 보안 시스템을 설계하는 역량을 키워야 한다.”</p> <figure class="figure_frm origin_fig" contents-hash="421f24b84b0ed708ff74fd1bdbc03ad0de031fc1a7b6acfb68754b333b6c1201" dmcf-pid="Z5sMBK9Ugf" dmcf-ptype="figure"> <p class="link_figure"><img alt="2024년 9월 김태수 마이크로소프트 부사장이 삼성전자 삼성리서치 시큐리티 & 프라이버시팀 상무로 재직하던 시절 '제8회 삼성 보안 기술 포럼'에서 기조강연을 하고 있다. /삼성전자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/08/chosunbiz/20260808060256402foxr.jpg" data-org-width="4000" dmcf-mid="VThJ2f4qNL" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/08/chosunbiz/20260808060256402foxr.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 2024년 9월 김태수 마이크로소프트 부사장이 삼성전자 삼성리서치 시큐리티 & 프라이버시팀 상무로 재직하던 시절 '제8회 삼성 보안 기술 포럼'에서 기조강연을 하고 있다. /삼성전자 </figcaption> </figure> <p contents-hash="3cb43e3435c8f0cd8fa406ab194f23c8eb3e74b31830d246e323004d7a53629d" dmcf-pid="5eqScEDgkV" dmcf-ptype="general"><strong>◇ “대우·환경 차이로 韓 인재들 해외서 활동"</strong></p> <p contents-hash="fa62f53fef8b74b932a480c9f19c15d4652334bb0a0afbc643ab5b89f0944460" dmcf-pid="1dBvkDwaN2" dmcf-ptype="general"><strong>—한국 정부는 독자 AI 파운데이션 모델 개발을 추진하고 있다.</strong></p> <p contents-hash="abab0d930b39adc1cbc10956b95bd16daf2150abcca1d2f39603082f2f9c20dd" dmcf-pid="tJbTEwrNA9" dmcf-ptype="general">“독자 모델 개발의 필요성에는 공감한다. 다만 보안 관점에서 보면, 모델을 하나 만든다고 끝나는 문제는 아니다. 공격자가 AI로 우리 시스템을 분석하기 전에 방어자가 먼저 AI를 활용해 취약점을 찾고, 검증하고, 조치할 수 있는 방어 체계를 갖추는 것이 더 중요하다. AI를 활용한 방어 체계를 구축하는 것이 앞으로의 사이버 공격에 대응하는 가장 현실적인 대응 방향이라고 생각한다.”</p> <p contents-hash="ef3af6ef10201306fe3c8138828bd79c6422a3313d8e2396365b09cefa7f7885" dmcf-pid="FiKyDrmjNK" dmcf-ptype="general"><strong>—한국 정부는 세계 AI 3위를 목표로 한다. 현실가능성은.</strong></p> <p contents-hash="81c136110ed19e3320c518ccd673fe31c1ce3ec43caccb7f9784ddf6079e9225" dmcf-pid="3n9WwmsAgb" dmcf-ptype="general">“한국 출신 보안 인재들의 역량은 세계 어느 곳과 비교해도 뒤처지지 않는다고 생각한다. 실제로 글로벌 무대에서 활약하며 인정받는 한국계 보안 전문가들도 많다. 다만 현실적으로는 국내보다 더 나은 보상과 연구 환경을 제공하는 해외, 특히 AI 프런티어 모델이 개발되고 있는 미국으로 인재가 이동하는 경우가 많다. AI와 보안을 함께 연구하고 발전시키기에는 이런 환경적 차이가 존재한다. 따라서 한국의 AI 경쟁력을 평가할 때 단순히 어떤 모델을 개발했는지, 혹은 국가별 순위가 몇 위인지에만 집중해서는 안 된다고 생각한다. 중요한 것은 AI와 보안을 함께 발전시킬 수 있는 연구·산업 생태계가 얼마나 빠르게 성장하고 있느냐다. 정부 차원의 드라이브도 필요하지만, 궁극적으로는 보안 산업 자체가 더 크게 성장해야 한다. 최신 보안 기술을 빠르게 도입하고 실제 산업 현장에서 활용할 수 있는 기업과 시장이 형성돼야 우수한 인재가 국내에 머물고, 연구도 더 복잡하고 중요한 문제를 해결하는 방향으로 확장될 수 있다.”</p> <p contents-hash="00b932e23fbf77ea575f32cb85bcd1f8b37beffa4629d9986368a9f7866ced3a" dmcf-pid="0L2YrsOckB" dmcf-ptype="general"><strong>—한국이 AI 경쟁력을 높이려면 어떠한 정책적 노력이 필요하나.</strong></p> <p contents-hash="ee7e570bae3115adc518eb2f85d053cc8a472eab533ba6709968774eb0e55067" dmcf-pid="poVGmOIkAq" dmcf-ptype="general">“한국 AI 인재들이 국내에서도 지속적으로 성장하고 실제 산업 문제를 해결하는 데 활용될 수 있는 환경을 만들어야 한다. 최신 AI와 보안 기술을 빠르게 받아들이고 실제 현장에 적용할 수 있는 기업과 시장이 형성돼야 한다. 공공과 민간이 새로운 보안 기술을 검증하고 도입할 수 있는 수요를 만들고, 보안 기업과 연구자들이 실제 문제를 해결할 기회를 확대하는 정책이 중요하다고 본다. 또한 인재들이 자유롭게 연구하고 실험할 수 있는 환경을 만드는 것도 중요하다. 기업이나 학계 어디에 있든 실제 시스템을 다루고 새로운 기술을 검증할 수 있어야 역량이 축적된다. 결국 정책의 방향은 인재가 성장하고, 산업이 그 성과를 빠르게 흡수하는 선순환 구조를 만드는 데 맞춰져야 한다고 생각한다.”</p> <p contents-hash="4a46f6bd89c903f8e320077fa0afa1cf1a0dbaa2d2773f261682efdb21380d48" dmcf-pid="UgfHsICEkz" dmcf-ptype="general">- Copyright ⓒ 조선비즈 & Chosun.com -</p> </section> </div> <p class="" data-translation="true">Copyright © 조선비즈. 무단전재 및 재배포 금지.</p> 관련자료 이전 [PLAY IT] ‘루이? 위!’ 불어 번역 시켜보니…번역은 ‘글쎄’ 08-08 다음 [겜별사] 익숙한 맛 그 자체…한국형 MMORPG '킹덤2: 타오르는 전장 08-08 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
