정부, 2027년까지 한국형 AI 보안 체계로 갈아탄다

AI가 취약점을 너무 잘 찾기 시작했다

• 정부가 2027년부터 국내 정보보호 체계를 독자 AI 기술 기반으로 전환하겠다고 밝힘

  • 오픈AI, 앤트로픽 같은 글로벌 기업과 협력은 계속하되, 국가 안보 영역을 해외 모델에만 맡기지는 않겠다는 방향임
  • 정부 발표 이름도 꽤 직설적임. AI 기반 사이버 위협 대응 민간 정보보호 추진계획, 즉 미토스 대응 종합대책임

• 배경에는 앤트로픽 미토스 쇼크가 있음

  • 미토스는 보안 참여사들의 소프트웨어와 오픈소스에서 단기간에 1만6000건 넘는 취약점을 찾아낸 사례로 거론됨
  • 이 정도면 AI가 보안 전문가를 보조하는 수준을 넘어, 인간이 감당하기 힘든 속도로 취약점을 쓸어 담는 단계에 들어간 셈임

해외 AI 보안망에만 기대면 생기는 문제

• 정부가 걱정하는 건 단순히 국산 기술 자존심이 아님

  • 해외 빅테크가 취약점 정보를 먼저 알고, 한국 기관과 기업은 공유 범위나 시점에 따라 뒤늦게 알게 되는 구조가 될 수 있음
  • 기사에서는 이런 상황을 국가 시스템이 어떤 취약점에 노출됐는지조차 모르는 정보 공동화로 설명함

• 오픈AI 쪽 협력은 일부 열렸지만, 앤트로픽 쪽은 난항임

  • 정부는 오픈AI의 신뢰 기반 접근 프로그램(TAC) 참여 약속을 받은 것으로 전해짐
  • 반면 앤트로픽 글래스윙 프로젝트는 미국 백악관이 해외 정보 공유에 부담을 느끼는 분위기라 합류가 쉽지 않다고 함

• 해외 모델을 쓰는 과정에서 내부 코드와 시스템 정보가 외부로 나갈 수 있다는 우려도 큼

  • 보안 분석을 하려면 결국 실제 코드, 시스템 구조, 취약점 의심 지점 같은 민감한 입력이 들어감
  • 한 보안 전문가는 빅테크 입장에선 이런 입력이 현장의 취약점 분석 수요와 데이터 흐름을 파악하는 기회가 될 수 있다고 지적함
  • 고려대 AI보안연구소장은 제로 데이터 리텐션(ZDR)을 적용해도 미국 클라우드법 때문에 코드가 어느 기관에서 어떤 IP로 점검됐는지 같은 정보가 남을 수 있다고 봄

한국형 미토스는 어떻게 만들려 하나

• 정부는 독자 AI 파운데이션 모델 위에 보안 특화 모델을 얹는 방안을 검토 중임

  • 과기정통부는 LG AI연구원, SK텔레콤, 업스테이지, 모티프테크놀로지스 등 4개 기업을 대상으로 독자 AI 파운데이션 모델 사업 2차 평가를 준비 중임
  • 목표는 미토스나 오픈AI의 고성능 사이버 모델처럼, 국내 기술로 AI 기반 사이버 위협을 탐지하고 대응하는 역량을 갖추는 것임

• 민간에서도 국산 AI 반도체 기업과 보안 전문 기업들이 보안 특화 대규모 언어 모델(LLM)을 자체 개발하려는 움직임이 있다고 함

  • 보안은 일반 챗봇과 달리 코드, 취약점 데이터베이스, 공격 패턴, 패치 이력 같은 도메인 데이터가 중요함
  • 그래서 범용 모델을 그대로 쓰기보다 보안 업무에 맞춘 특화 모델이 필요하다는 논리임

당장 돌아가는 대응 체계도 손본다

• 정부는 독자 AI 보안 체계로 완전히 전환하기 전에 민관군 긴급 대응체계를 먼저 가동함

  • 청와대 국가안보실을 중심으로 AI 취약점 공개, 패치, 위협 상황을 공유하고 침해 사고가 나면 합동 대응하는 구조임
  • 과기정통부에는 총괄상황반을 두고, 금융·의료·에너지·제조·방산·학교 등은 소관 부처별 상황반을 운영함
  • 국방부는 군 분야, 국가정보원은 공공 분야를 맡는 식으로 역할을 나눔

• 한국인터넷진흥원(KISA)에는 취약점 관리센터가 생김

  • KISA 취약점 정보포털을 중심으로 국내외 공개 취약점과 신고 정보를 수집·분석함
  • 이후 보안 공지, 정보보호최고책임자(CISO) 채널, 민간 협력 채널, 부처별 상황반을 통해 기업과 기관에 빠르게 공유하는 방식임

---

기술 맥락

• 정부가 말하는 한국형 미토스는 단순 챗봇이 아니라, 취약점 탐지와 대응에 맞춘 보안 특화 AI 체계에 가까워요. 왜냐하면 사이버 보안에서는 모델이 답변을 잘하는 것보다 실제 코드와 시스템에서 위험 신호를 얼마나 빨리 찾아내느냐가 더 중요하거든요.

• 해외 모델을 쓰면 성능은 빠르게 확보할 수 있지만, 입력 데이터와 취약점 정보의 통제권 문제가 생겨요. 보안 분석에는 내부 코드, 시스템 구성, 점검 대상 IP 같은 민감한 맥락이 들어가서 외부 서버 의존이 곧 운영 리스크가 될 수 있어요.

• KISA 취약점 관리센터가 중요한 이유는 AI가 취약점을 많이 찾는 것만으로는 방어가 끝나지 않기 때문이에요. 발견된 취약점을 어떤 기관에 먼저 알릴지, 패치 정보를 어떻게 일원화할지, 침해 사고가 나면 누가 지휘할지까지 묶여야 실제 방어 체계가 돼요.

• 결국 이번 계획은 모델 개발, 데이터 주권, 취약점 관리 프로세스를 한꺼번에 보는 움직임이에요. AI 보안 시대에는 좋은 모델을 빌려 쓰는 것만으로 부족하고, 그 모델이 다루는 정보 흐름을 국내에서 설명하고 통제할 수 있어야 해요.