거세지는 AI 해킹…"공격 막을 해답은 기본 보안체계에 있다" 작성일 10-26 51 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">[인터뷰] 김태룡 HPE 한국 HPC·AI 사업부문 이사</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="fkEFZm4qW4"> <figure class="figure_frm origin_fig" contents-hash="b8c8969010f29f24874d3144c1ddd2a00df13899c8bcf4b54709d8e956acb79b" dmcf-pid="4ED35s8BTf" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026100744198ktud.jpg" data-org-width="640" dmcf-mid="VsrptIPKC8" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202610/26/552796-pzfp7fF/20261026100744198ktud.jpg" width="658"></p> </figure> <p contents-hash="d3881bf29f766655313d2a33dbb99cfc10b26fc18d913126ce11fd54ecb8a8df" dmcf-pid="8Dw01O6bWV" dmcf-ptype="general">[디지털데일리 김보민기자] 인공지능(AI)을 악용한 해킹 공격이 현실이 됐다. 이제는 고도의 역량을 갖추지 않더라도 누구나 해킹을 시도해보고, 침투에 성공한다면 수익까지 얻어내는 시대에 도달했다. AI 에이전트가 알아서 공격 대상과 경로를 찾아주는 자율형 해킹 단계에 진입했다는 우려도 제기된다. 먼 미래 같았던 'AI와의 해킹 전쟁'이 본격화된 모습이다.</p> <p contents-hash="9f42bc0517fd1cff8d18f2d4548d5d5d30cbbe7a1a723039d8bfea4388ebc669" dmcf-pid="6wrptIPKh2" dmcf-ptype="general">글로벌 컴퓨트, 스토리지, 네트워킹, 클라우드 시장을 대표하는 기업 HPE는 AI 공격이 거세질수록 '기본적인 보안 체계'를 재점검해야 한다고 제언한다. 김태룡 HPE 한국 HPC·AI 사업부문 이사는 <디지털데일리>와의 인터뷰를 통해 "인프라 전반에 걸쳐 가시성과 통제권을 확보하고, 피해 확산을 억제해 핵심 서비스를 복구할 수 있어야 한다"고 밝혔다.</p> <p contents-hash="b795556aae3d3ef8d05c687abb890aec15898d022b75920b9afb3a4cf12c39ef" dmcf-pid="P48rkxXSh9" dmcf-ptype="general">다음은 김태룡 이사와의 일문일답.</p> <hr class="line_divider" contents-hash="9a861f62cd77e9352ab430b258c1b28fd8beefc8f246ad8a97d146429c7dd6fb" dmcf-pid="Q86mEMZvlK" dmcf-ptype="line"> <p contents-hash="88c3f37b89c78e66fed72f0487f41f82755387e55489f8f07e9b7e717f2ab909" dmcf-pid="x6PsDR5TSb" dmcf-ptype="general"><strong>Q. 최근 금융권에서 발생한 연쇄 해킹을 바라봤을 때, 기업과 보안 담당자들이 어떤 교훈을 얻어야 한다고 생각하나.</strong></p> <p contents-hash="003fcb099681f09a4356ecde13ab8d7ba26b419606f4899da41f51dffb83211e" dmcf-pid="ySv9qYnQSB" dmcf-ptype="general">A. HPE 사이버위협 연구 보고서 '인더와일드(In the Wild)'에 따르면 2025년 1월1일부터 12월31일 사이 전 세계적으로 발생한 1186건의 실제 사례 중 금융 분야를 대상으로 한 공격은 211건으로 공공 부문 다음으로 사이버 위협의 표적이 된 경우가 많았다.</p> <p contents-hash="083bcd89551ec80415ee2b2f96b98fda871e4c07208247d796a41304f6bbce20" dmcf-pid="WvT2BGLxCq" dmcf-ptype="general">기업들이 공통적으로 얻어야 할 교훈은 보안을 개별 시스템이나 보안 부서만의 과제로 다루거나 단순 점검 혹은 일부 보안 제품만으로 해결된다고 생각해서는 안 된다는 것이다. 특히 금융 서비스에서는 고객 데이터 보호와 서비스 연속성이 곧 신뢰와 직결되기 때문에, 보안을 기업의 핵심 경영 과제로 바라볼 필요가 있다.</p> <p contents-hash="1d0aa7a6c62b4c050906d645d751a061aa244cbdd4f9833a4e5c8960bcf0d097" dmcf-pid="YTyVbHoMWz" dmcf-ptype="general">우선 인프라 전반에 걸쳐 가시성과 통제권을 확보해야 한다. 어떤 시스템에 중요 데이터가 저장돼 있는지, 누가 접근할 수 있는지, 외부 사업자와 어떤 연결 관계를 갖고 있는지 파악하는 것이 출발점이다. 이를 바탕으로 취약점 관리, 관리자 권한 통제, 네트워크 세분화와 같은 기본적인 보안 체계가 실제 운영 환경에서 제대로 작동하는지 지속 점검해야 한다.</p> <p contents-hash="051c5fdcda4a31f4cb180b857e9927e4bbeb124fb9b6785042d63b11c476cc91" dmcf-pid="GyWfKXgRy7" dmcf-ptype="general">동시에 침해가 발생했을 때 피해 확산을 억제하고 핵심 서비스를 복구할 수 있어야 한다. 복구 우선순위와 담당자의 역할을 명확히 정하고, 실제 훈련을 통해 대응 절차를 검증하는 것이 중요하다. 보안 투자의 성과도 이러한 탐지·대응·복구 역량을 함께 기준으로 삼아 평가해야 한다고 생각한다.</p> <hr class="line_divider" contents-hash="b8a1f952ba4541f665dd237193448f42e70b205bf5e93ce3b9bbe4cec0a7ff54" dmcf-pid="HWY49Zaelu" dmcf-ptype="line"> <p contents-hash="92eb54afc3803dda52f87af86a2cb412cda5067fc60ad67897a0a7bd50032945" dmcf-pid="XYG825NdlU" dmcf-ptype="general"><strong>Q. 산업 전반에 AI 도입이 가속화되면서 사이버 공격에 노출되는 영역도 확대되고 있다. 기업들이 AI 워크로드를 운영하면서 직면하게 된 보안 과제는 무엇인가.</strong></p> <p contents-hash="28b2d715ddc25ec35bff229ef18e9d4fb953ad341cdf52ffd5d341212ffe564b" dmcf-pid="ZGH6V1jJyp" dmcf-ptype="general">A. 가장 핵심적인 과제는 AI 라이프사이클 전반에 걸쳐 가시성과 통제권을 확보하는 것이다. 여기에는 데이터가 어떻게 활용되는지, 모델이 어디에서 학습되는지, 그리고 AI 시스템이 어떤 방식으로 운영되는지 파악하는 것이 포함된다. 데이터와 모델, 애플리케이션이 여러 플랫폼과 환경에 걸쳐 연결될수록 접근 권한과 보안 정책을 일관되게 적용하기가 어려워질 수 있다.</p> <p contents-hash="562fa9a86b0070054df03ee39c3fc4655ea10d3ecc5579aeec05de67921607ec" dmcf-pid="5XZQ4Fcnv0" dmcf-ptype="general">AI 환경에서는 보호해야 할 대상도 확대된다. 민감한 데이터의 유출을 막는 것은 물론, 학습 데이터와 모델이 변조되지 않도록 무결성을 유지해야 한다. 예를 들어 데이터 포이즈닝은 학습 데이터를 오염시켜 모델의 동작을 왜곡할 수 있으며, 프롬프트 인젝션은 AI 시스템이 의도하지 않은 응답이나 행동을 하도록 유도할 수 있다.</p> <p contents-hash="9427ffbd25ef2af34c4a8be7af6e83a331f062825675cafed8eb23f9a3dc82f8" dmcf-pid="1Z5x83kLy3" dmcf-ptype="general">AI 시스템은 조직의 기존 보안 환경과 별도로 운영될 수 없다. AI 플랫폼을 기존 신원및접근관리(IAM), 보안관제, 로그 모니터링, 취약점 관리 프로세스와 연계하고, AI 관련 위험을 지속적으로 관리하고 규제 준수 여부를 점검해야 한다.</p> <p contents-hash="9e659c0f618b20c75d48c6c924310cacb243a6ea27d56e844146e6e113afbe0d" dmcf-pid="t51M60EoWF" dmcf-ptype="general">따라서 거버넌스와 보안을 AI 도입 이후에 추가하는 요소가 아니라 인프라와 플랫폼의 기반 단계부터 내재화해야 한다. 컴퓨트·스토리지·네트워킹뿐 아니라 데이터와 애플리케이션 계층까지 함께 고려하고, 각 워크로드가 어떤 정보에 접근하며 어떤 작업을 수행할 수 있는지 명확하게 통제해야 한다. 이를 통해 조직은 AI 활용을 확대하는 과정에서도 실질적인 통제권을 유지할 수 있다.</p> <hr class="line_divider" contents-hash="8973eb4eb07a341e4039e641733cecdf3c2b04aa347d734faea1644f002440f5" dmcf-pid="F1tRPpDgSt" dmcf-ptype="line"> <p contents-hash="a895ad9019e1f7193534c8772608cd30f8403b0f003abd2c40aa2ad0c1846fad" dmcf-pid="3tFeQUwaC1" dmcf-ptype="general"><strong>Q. AI 인프라에서 설계 초기부터 보안을 내재화(Security by Design)한다는 것은 구체적으로 어떤 의미인가.</strong></p> <p contents-hash="bf295c6ef83aafa5b71a168269b450a06dc84193b2cd2c8da4bc7773fdd09249" dmcf-pid="0F3dxurNv5" dmcf-ptype="general">A. '시큐리티 바이 디자인(Security by Design)'은 AI 플랫폼을 먼저 구축한 뒤 보안 기능을 덧붙이는 것이 아니라, 데이터가 들어오는 지점부터 모델과 애플리케이션이 운영되는 전 과정에 보안과 통제를 설계에 포함하는 것이다. 실질적으로 이는 인프라, 데이터 흐름, 거버넌스, 운영 전반에 걸쳐 보안과 통제 기능을 내재화함으로써, 고객이 전체 라이프사이클에 걸쳐 자신의 환경을 안전하게 관리할 수 있도록 하는 것을 의미한다. '소버린 바이 디자인(Sovereign by Design)'과도 맞닿아 있는 접근 방식이다.</p> <p contents-hash="64cedf0bdb63dc8592871b6af3f81836fbbbd338c91b0bcb04c3c80d0c87bf81" dmcf-pid="p30JM7mjTZ" dmcf-ptype="general">가장 우선적으로 고려해야 할 것은 워크로드 분류다. 모든 애플리케이션이 동일한 수준의 보호와 격리를 필요로 하지는 않는다. 어떤 데이터를 어디에서 어떻게 처리하는지, 해당 서비스가 침해되거나 중단됐을 때 어떤 영향을 미치는지에 따라 필요한 보안 수준과 구축 환경을 결정해야 한다. 이를 바탕으로 네트워크, 컴퓨트, 스토리지, 클라우드 전반에 보안 통제를 내재화해야 한다.</p> <p contents-hash="01415fd43c0e918a1b10a8b19a89a5e9bb96a658e435a66409a0c13f79d5064a" dmcf-pid="U0piRzsAvX" dmcf-ptype="general">사용자와 시스템에는 필요한 최소한의 권한만 부여하고, 워크로드 간 불필요한 접근을 제한하며, 관리 인터페이스와 시스템을 보호해야 한다. HPE의 실리콘 루트 오브 트러스트와 같은 하드웨어 기반 보안은 펌웨어의 무결성을 검증해 인프라의 기반 단계부터 신뢰를 확보하도록 지원한다. 또한 구축 단계부터 모니터링, 보안 업데이트, 복구 절차까지 함께 설계해야 한다. 이후 단계에서 보안과 거버넌스를 보완하는 부담을 줄이고, AI 환경이 확대되더라도 일관된 보호 체계를 유지하는 것이 핵심이다.</p> <hr class="line_divider" contents-hash="c2770fe0e60cef19c828ef6335f3f16f7850a70b9eac400c8d0c4a18a6c290d4" dmcf-pid="upUneqOcWH" dmcf-ptype="line"> <p contents-hash="cfed411f125402d19a2eee5b41f471f71768b0eff2926c82b79efc2194df6aa3" dmcf-pid="7UuLdBIkyG" dmcf-ptype="general"><strong>Q. 100% 완벽한 예방은 불가능하다는 인식이 퍼지면서 '복원력(사이버 레질리언스)'이 화두로 떠올랐다. 인프라 전반에 걸친 HPE만의 통합 보안 및 사이버 레질리언스 전략은 무엇인가.</strong></p> <p contents-hash="2938ac9add8e0bd4fc12c420bf412fe1e7024bf476847f5d1604f26e59225fe7" dmcf-pid="zu7oJbCEWY" dmcf-ptype="general">A. HPE는 컴퓨트·스토리지·네트워킹·클라우드를 아우르는 포트폴리오를 바탕으로 인프라의 신뢰성 확보부터 접근 통제, 피해 확산 억제, 데이터 보호와 복구까지 연결하는 접근 방식을 취하고 있다. 고객이 개별 기술을 각각 운영하면서 발생할 수 있는 보안 공백과 관리 복잡성을 줄이는 것이 중요하다고 보고 있다.</p> <p contents-hash="d280a492d2e91e16e306a1d610b26c2a8779811308af27e6bea0b817b839ef7e" dmcf-pid="qBbjoVvmvW" dmcf-ptype="general">컴퓨트 영역에서는 실리콘 루트 오브 트러스트를 통해 하드웨어 기반의 신뢰를 확보하고, 네트워크 영역에서는 제로 트러스트 접근 통제와 세분화를 통해 불필요한 접근과 공격자의 내부 이동을 제한하도록 지원한다. 데이터 보호와 복구 측면에서는 HPE 젤토 소프트웨어(HPE Zerto Software)의 지속적 데이터 보호와 저널 기반 복구, 비중단 복구 테스트 등을 통해 데이터 손실과 서비스 중단의 영향을 줄일 수 있도록 지원한다.</p> <p contents-hash="6a02cc7622550c4401132d30cf8b0a3f5830c0ce1e8b3653eef505d6c5ab398f" dmcf-pid="BbKAgfTsSy" dmcf-ptype="general">중요한 것은 이러한 역량을 고객의 업무 중요도와 보안 요구사항에 맞게 구성하고, 실제 운영과 복구 과정에서 검증하는 것이다. HPE는 인프라 전반의 기술과 서비스를 결합해 고객이 일관되고 상호 연계된 접근 방식을 바탕으로 보호와 복구를 설계하도록 지원하고 있다.</p> <hr class="line_divider" contents-hash="48c3d94126cdf91f46505bf78d86a5e54b1eee5bd59aef552b3a55d01cbb06a3" dmcf-pid="bK9ca4yOlT" dmcf-ptype="line"> <p contents-hash="dd19e2c84f450fbca3c1585ffbadeeb10b2b20d79f103f359c96615be53ffa5d" dmcf-pid="K92kN8WIWv" dmcf-ptype="general"><strong>Q. 향후 에이전틱 AI 발전과 양자 컴퓨팅 시대의 도래는 기존 보안 체계를 무력화할 수 있다는 우려가 있다. 차세대 위협에 대비하기 위해 기업은 어떤 심층 방어 전략을 마련해야 하나.</strong></p> <p contents-hash="fdd15171fa570c85e2cacd5a99e43297da1332328585bcc7c054702d8a73dd01" dmcf-pid="92VEj6YCvS" dmcf-ptype="general">A. 에이전틱 AI와 양자 컴퓨팅은 서로 다른 보안 과제를 제기하기 때문에, 각각의 위험을 이해하고 여러 계층에 걸쳐 대응 체계를 마련해야 한다.</p> <p contents-hash="500df6ee7fc3f5f06be574afd21cb5cf385e731d9743138f8447526af54dbfa3" dmcf-pid="2VfDAPGhCl" dmcf-ptype="general">에이전틱 AI는 정보를 제공하는 데서 나아가 여러 시스템에 접근하고 실제 작업을 수행할 수 있다. 따라서 각 에이전트가 누구의 권한으로 어떤 작업을 수행하는지 명확해야 한다. 에이전트별 신원을 식별하고 필요한 최소한의 권한만 부여하며, 작업이 종료되거나 이상 행동이 발견되면 접근 권한을 회수할 수 있어야 한다. 여기에 실행 환경의 격리, 활동 기록과 모니터링, 중요 작업에 대한 사람의 승인 절차를 함께 적용할 필요가 있다. 실제 권한 검증은 에이전트가 접근하는 시스템에서도 강제돼야 한다.</p> <p contents-hash="75aa572c5298be605fafc3540d3ee5b7eb0e8e2e422dbe54a9eca2acdca673cd" dmcf-pid="Vf4wcQHlvh" dmcf-ptype="general">양자 위협에 대해서는 현재 어떤 하드웨어와 소프트웨어, 서비스에서 양자 공격에 취약한 공개키 암호 기술을 사용하고 있는지 파악하는 것이 출발점이다. 이를 바탕으로 보호해야 할 정보의 중요도와 시스템 교체 난이도를 고려해 표준화된 양자내성암호로의 전환 우선순위를 정해야 한다.</p> <p contents-hash="d040c8dcde6c1ef209e949638f0eeea84d52a9dcf62b49a4506b10bd2289e640" dmcf-pid="f48rkxXSTC" dmcf-ptype="general">특히 AI 인프라는 장기간 운영될 수 있고, 일부 하드웨어 기반 보안 구성요소는 구축 이후 교체하기 어려울 수 있다. 따라서 초기 투자 단계부터 암호 기술을 유연하게 갱신할 수 있는 ‘암호 민첩성’을 고려해야 한다. 신뢰할 수 있는 하드웨어, 접근 통제, 네트워크 세분화, 지속적인 모니터링과 복구 역량을 함께 갖추는 것이 차세대 위협에 대비하는 심층 방어의 핵심이다.</p> <hr class="line_divider" contents-hash="e802d073fb58274b602efa4f18802c07131dd6af581a6bd9c0690fd719fd61d2" dmcf-pid="486mEMZvhI" dmcf-ptype="line"> <p contents-hash="dac25ed63d653b5a7120a2903c8dd81f11a5f8dcccab77a1f20e8b7ac0c4df39" dmcf-pid="86PsDR5TyO" dmcf-ptype="general"><strong>Q. 안전한 디지털 전환과 AI 혁신을 준비하는 국내 기업 IT 및 보안 담당자들에게 당부하고 싶은 조언이 있다면. 이를 지원할 한국HPE HPC·AI 사업부문의 향후 계획은.</strong></p> <p contents-hash="5277fb2e5bebbdc722020288b5b8735b637b18ac46961ba8e99cb651d893ed4c" dmcf-pid="6ICqUve4Cs" dmcf-ptype="general">A. 한국 기업이 AI 전환을 성공적으로 추진하려면, AI 모델이나 애플리케이션의 선택을 넘어 AI를 지속적으로 운영하고 확장할 수 있는 기반을 갖추고 있는지가 핵심이다. 이를 위해서는 AI를 도입하기 전에 어떤 업무에 적용할 것인지, 어떤 데이터를 사용할 것인지, 실패나 침해가 발생하면 비즈니스에 어떤 영향을 미치는지를 분명히 정의해야 한다. 또한 도입 초기부터 IT와 보안, 데이터, 현업 부서가 함께 참여해 활용 목적과 데이터의 민감도, 필요한 통제 수준에 대한 공통된 이해가 형성돼야 한다.</p> <p contents-hash="0ee928e29a694700b7f4c7b49792d2bc4e40bbc79a47c47d72591e28b3ced4f3" dmcf-pid="PChBuTd8Tm" dmcf-ptype="general">우선 통합된 데이터 기반을 마련해야 한다. AI의 성과는 결국 데이터의 품질에 달려 있으며, 데이터가 어디에 있고 누가 어떤 목적으로 활용하는지 파악할 수 있어야 한다. 또한 컴퓨트·네트워킹·스토리지·소프트웨어가 통합된 인프라를 바탕으로 성능과 보안, 복구 가능성을 함께 검증해야 한다. 내부 인적 역량도 중요하다. 시스템이 어떻게 구축되고, 연결되고, 관리되는지를 이해하는 내부 아키텍트와 엔지니어 없이는, 아무리 정교한 기술 스택을 갖추더라도 AI 운영에 대한 실질적인 통제권을 행사하기 어렵다.</p> <p contents-hash="0a2b18e5917bfae6694e3c8b820cf266b676b60d68a318c432387e2460b0ad86" dmcf-pid="Qhlb7yJ6hr" dmcf-ptype="general">한국은 AI, 첨단 연구, 디지털 주권에 대한 명확한 국가적 전략을 가지고 있는 국가로 HPE에 전략적으로 중요한 시장이다. HPE의 장기적인 비전은 한국의 공공 연구기관, 기업 및 규제 산업이 AI 실험 단계에서 대규모 미션 크리티컬 운영 단계로 나아갈 때 이들을 엔드 투 엔드로 지원하는 것이다.</p> <p contents-hash="6ad2b8da6c0d5e3249376c8c59ab4eb9f7b8f7938b78e71e78854cd244c2f373" dmcf-pid="xlSKzWiPTw" dmcf-ptype="general">한국HPE HPC·AI 사업부문 역시 이러한 방향 아래 통합 AI 인프라와 프라이빗·소버린 AI 역량을 바탕으로 고객과 협력하고자 한다. 국가 규모의 슈퍼컴퓨팅이든, 프라이빗 AI든, 규제 산업에서의 안전한 현대화든, 한국 조직들이 보안과 복원력을 갖춘 기반 위에서 더 빠른 속도와 통제력, 자신감을 가지고 혁신하도록 돕는 것이 목표다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 차호범 SKT CPO “AI 개인정보 포털 구축…사전 관리체계 강화” 10-26 다음 같은 곳만 '쩍' 깨지는 아이폰 듀오 뜯어보니…힌지 설계 결함 의혹 10-26 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
