[보안칼럼] AI 패러다임 변화, 보안 인식도 바뀌어야 한다

박종수 씨드젠 상무 sgp@seedgen.kr 지난 몇 년간 인공지능(AI)은 우리의 업무와 일상에 깊숙이 들어왔다. 그 변화는 당신에게 어떤 모습으로 다가왔는가. 누군가에게는 업무 생산성을 끌어올리는 도약이었을 수도 있고, 누군가에게는 미처 대비하지 못한 새로운 위험이었을 수도 있다. 같은 기술을 두고도 답은 서 있는 자리에 따라 갈린다. 보안을 책임지는 자리에 있다면 AI의 확산은 마냥 반가운 소식만은 아닐 것이다. 활용할 수 있는 도구가 늘어난 만큼 지켜야 할 보안 전선도 넓어졌고, 공격자 역시 같은 기술을 손에 쥐었기 때문이다. AI의 확산과 함께 위협의 지형은 조직 안팎에서 달라지고 있다. 외부에서는 딥페이크와 합성 음성 등 AI를 활용한 공격이 정교해지면서 '내가 보고 들은 것은 진짜다'라는 보안의 오랜 전제가 흔들리고 있다. 내부에서는 임직원이 기밀 자료와 고객 정보를 외부 AI에 무심코 입력하는 순간 민감 정보가 통제 밖으로 흘러나갈 수 있다. 조직의 승인 없이 업무에 AI 도구를 사용하는 '섀도 AI' 역시 보이지 않는 유출 경로가 되고 있다. 올해 인공지능기본법이 시행되며 AI 활용에 대한 규율이 구체화되고, 최근 CISO 포럼에서도 국가 AI 안보 위협과 공공 AI 정책이 핵심 의제로 다뤄질 만큼 관심이 커지고 있다. 이러한 AI 활용은 조직 차원에서 관리해야 할 영역으로 바뀌면서 임직원의 입력 한 줄이 조직 전체의 컴플라이언스 리스크로 직결될 수 있는 것이다. 이 두 방향의 위협이 겨냥하는 지점은 결국 사람의 판단과 습관이다. 사람이 가장 약한 고리라면, 가장 효과적인 통제 지점 역시 사람일 수밖에 없다. 우리는 그 해답이 '인식 제고'에 있다고 본다. 지금까지와 같은 방식이어서는 안 된다. 과거의 위협은 정형적이어서 '수상한 첨부파일을 열지 마라'는 지식과 연 1회 집합교육만으로도 어느 정도 방어가 가능했다. 지금의 위협은 단순한 지식 부족의 문제가 아니라 사람의 감각과 판단 자체를 흔든다. AI는 아는 것과 그 순간 올바르게 판단하는 것 사이의 간극을 파고든다. 인식 제고의 목표도 '위험을 아는 것'에서 '그 순간 다르게 행동하는 것'으로 옮겨가야 한다. 변화를 금지만으로 이끌어낼 수는 없다. '하지 마라'를 앞세운 접근은 현실성이 떨어질 뿐 아니라 통제 밖의 비공식적 사용을 부추길 수 있기 때문이다. 캠페인의 목표는 사용을 막는 것이 아니라 위험한 행동을 안전한 습관으로 바꾸고, 이를...