[한국정보보호학회 칼럼] 미토스가 촉발한 취약점의 홍수, 예견한 듯 준비된 공급망 보안 로드맵

과기정통부-국가정보원, ‘AI 일상화 시대를 준비하는 SW 공급망 보안 로드맵’ 공동 발표
미래는 대비하는 만큼 안전해져...AI 보안, 산·학·연·관·군이 함께하며 대응해야

[보안뉴스= 이만희 한국정보보호학회 상임부회장] 7월은 정보보호의 달이다. 지난 7월 8일 과기정통부와 국가정보원, 행정안전부가 공동 주최하고 한국인터넷진흥원, 한국정보보호산업협회가 주관한 제15회 정보보호의 날 기념식에서 정부는 정보보호 유공자에게 훈장 1명, 포장 2명 등 훈·포장을 세 분에게 수여했다. 국산 보안 기술로 국가 주요 시설의 보안 수준을 끌어올린 기업인과 정보보호 연구·교육에 헌신해온 학자가 국가로부터 공로를 인정받는 모습은 이 분야에 몸담은 한 사람으로서 무척 반가운 일이었다. 보이지 않는 곳에서 국가와 국민을 지켜온 정보보안인들의 기여가 앞으로도 계속 이렇게 인정받기를 바란다.

개인적으로 인상 깊었던 장면이 하나 더 있다. 얼마 전 대전역에서 한국철도공사가 일반 시민들을 대상으로 정보보안 인식 개선 캠페인을 진행하는 모습을 보았다. 정보보호의 달이 정보보호 전문가들과 보안을 책임져야 하는 담당 기관들의 행사를 넘어, 기차를 기다리는 평범한 시민들에게까지 확장되고 있다는 사실이 무척 고무적이었다. AI 시대에 정보보안은 더 이상 전문가들만의 영역이 아니라 국민 모두의 일상이 되고 있다.

AI가 우리 사회를 뒤흔든 세 번의 순간
필자는 인공지능이 우리 사회를 뒤흔든 사건으로 세 가지를 꼽고 싶다.

첫째, 이세돌과 알파고의 대국이다. 벌써 10년이 넘었다. 그때까지만 해도 세계인들은 당연히 인간을 대표하는 이세돌 9단이 이길 것이라 예상했다. 그러나 모두가 알다시피 결과는 정반대였고, 아이러니하게도 이세돌 9단이 거둔 제4국의 승리는 인간이 알파고를 상대로 한 판이라도 이긴 마지막 대국이 되었다. 이후 세상은 인공지능이 생각보다 훨씬 많은 것을 할 수 있다는 사실을 알게 되었다.

둘째, ChatGPT의 등장이다. 미리 훈련시킨 특정 분야의 기능만 잘 수행하던 AI가, 언어를 엄청난 규모로 습득하더니 갑자기 사람이 하는 모든 말을 알아듣고, 기사를 쓰고, 번역을 하는 등 특별히 훈련하지 않은 일까지 해내기 시작했다. 거대언어모델(LLM)의 등장에 사람들은 “드디어 특이점이 왔다”고 말했고, 우리 사회는 불과 몇년만에 전에 없는 속도로 변화하고 있다.

셋째, 그 변화가 보안 분야에서 일어난 것이 바로 4월 ‘미토스’(Mythos)의 등장이다. 소프트웨어에서 취약점을 찾아내는 일은 너무나 복잡해서 소수의 고도화된 보안 전문가들만이 할 수 있는 영역으로 여겨져 왔다. 그런데 아주 똑똑한 LLM이 갑자기 이 전문가들을 능가하는 수준으로 취약점을 스스로 찾아내기 시작한 것이다. 미토스 공개 이후 OpenAI와 Microsoft에서 유사 도구들이 등장했고, 글로벌 빅테크와 주요 오픈소스 프로젝트에서 고위험 취약점이 전례 없는 속도로 쏟아지고 있으며, 구글과 AWS 같은 보안에 막대한 투자를 해온 기업들조차 예외가 아니었다. 보안 분야는 그야말로 완전히 뒤집어졌다.

미래를 예견한 듯한 로드맵
이런 상황에서 지난 6월 24일, 과학기술정보통신부와 국가정보원이 ‘AI 일상화 시대를 준비하는 SW 공급망 보안 로드맵’을 공동 발표했다. 시점만 보면 마치 미토스가 등장하자 부랴부랴 만든 것처럼 보일 수 있다. 그러나 그렇지 않다. 이 로드맵은 2024년 ‘SW 공급망 보안 가이드라인’ 발간으로 첫발을 뗀 이후 2년 넘게 차근차근 준비해 온 결과물이다.

놀라운 것은 이 로드맵의 내용이 미토스를 비롯한 세계 유수의 AI 모델들이 집중하고 있는 ‘취약점 찾기’에 정확히 대비되어 있다는 점이다. 로드맵은 크게 세 축으로 구성된다. △개발·공급 단계부터 보안을 내재화하고 SBOM(소프트웨어 자재명세서)으로 SW의 투명성을 높여 취약점을 미리 찾아내는 것 △배포·운영 단계에서 버그바운티, 취약점 신고포상제, 취약점 신고·조치·공개 제도(CVD) 등으로 취약점 발굴 채널을 넓히고 AI 기반 방어체계를 갖춰 취약점을 적극적으로 관리하는 것 그리고 이를 뒷받침하기 위한 △기업 지원, 교육, 법·제도 정비다. 취약점이 홍수처럼 쏟아지는 시대에 SW를 생애 전 주기에 걸쳐 지켜낼 수 있는 사실상 유일한 방법이 공급망 보안이라는 점을 생각하면, 이 로드맵은 미래를 예견한 듯한 준비였다고 평가하고 싶다.

따라서 결론은 분명하다. 이 공급망 보안 로드맵을 제대로 수행하는 것이야말로, 미토스로 촉발된 취약점의 홍수에서 우리나라를 지켜낼 수 있는 길이다.

부처를 넘어선 협업, 반드시 성공해야 한다
정보보안 분야에서 과기정통부와 국가정보원이 가장 밀접하게 협력해 온 분야가 바로 공급망 보안이 아닌가 생각한다. 2024년 ‘SW 공급망 보안 가이드라인’을 공동 작성했고, 같은 해 9월에는 SW 공급망 보안 제도화 TF도 공동으로 출범시켰으며, 이번 로드맵 역시 공동으로 발표했다. 내용을 보아도 민간과 공공이 함께 움직이는 구조다. 처음부터 함께 하기로 하고 지금까지 같이 해온 것이다.

부처의 경계를 넘어 국가적 보안 이슈에 공동으로 대응하는 이 모델은 매우 긍정적이며, 반드시 성공시켜야 한다. 이번 협업이 성공해야 앞으로 더 큰 국가적 보안 과제에서도 이런 협업이 가능해지기 때문이다.

학계의 다짐
이 지점에서 학계에 몸담은 한 사람으로서 몇 가지를 다짐하고자 한다.

첫째, 학계가 할 수 있는 일은 정부가 추진하는 일에 최대한 협조해 국가가 필요로 하는 연구개발과 자문에 적극 참여하는 것이다. 앞으로 로드맵 실행과 과제 기획에 학계가 적극 지원할 것이니, 불러주시면 언제든지 달려가 협조하겠다.

둘째, 국가가 적극적으로 추진하는 보안 사안들이 여럿 있다. N2SF(국가 망 보안체계)도 있고 제로트러스트도 있다. 이런 분야들과 공급망 보안이 따로따로 추진되면 통합적인 보안체계가 나올 수 없다. 이 일들이 함께 갈 수 있도록 학계 차원에서 적극 노력하겠다.

셋째, 공급망 보안 분야에 산·학·연·관·군이 모두 참여할 수 있는 커뮤니티인 공급망 보안연구회를 더욱 활성화해 더 많은 사람이 함께하도록 하겠다. 지난 6월 24일부터 이틀간 양재 aT센터에서 열린 2026년도 공급망 보안워크숍에는 300여 명이 참여했다. 과기정통부와 국정원의 공급망 보안 로드맵 발표는 물론, KISA의 SW 개발보안 제도와 공급망 보안 실증사업 안내가 있었고, 전 미국 CISA 시니어 어드바이저이자 ‘SBOM 전도사’로 불리는 앨런 프리드먼(Allan Friedman) 박사, 실리콘밸리의 AI 공급망 보안 기업 매니페스트(Manifest)의 공동 창업자이자 CTO인 다니엘 바덴스타인(Daniel Bardenstein), 그리고 공급망 보안 등급제를 도입하는 일본의 제도를 경제산업성의 미츠키 기타지마(Mizuki Kitajima)씨가 직접 발표해 주었다. AI 공급망 보안, 하드웨어 공급망 보안, 공급망 보안 실증기업 사례와 국내 공급망 보안 기업들의 솔루션 발표도 이어졌다. 연말에도 세미나를 계획하고 있으며, 이런 모임을 더욱 세밀하게 준비하겠다.

꿈꾸고 대비하는 만큼 이루어진다
보안의 미래는 대비하는 만큼 이루어진다. 어쩌다가, 혹은 우연히 대비되는 일은 없다. 국가 배후의 공격, AI를 이용한 해킹은 물론이고, 심지어 완전한 자율성을 가진 제한 없는 AI가 실험실을 탈출해 폭주하는 상황까지도 대비해야 한다. 그런 AI가 웜 형태로 스스로를 복제하며 퍼져나간다면 그것은 대재앙이 될 것이다.

미토스의 등장과 최근 ChatGPT의 허깅페이스 공격은 그 미래가 생각보다 가까이 와 있음을 보여주었다. 다행히 우리에게는 2년 넘게 준비된 로드맵이 있고, 부처를 넘어선 협업의 틀이 있으며, 산·학·연·관·군이 함께 모이는 커뮤니티가 있다. 이제 남은 것은 실행이다. 정보보호의 달인 7월, 훈·포장을 받으신 세 분의 영예가 대한민국 정보보안인 모두의 자부심으로, 그리고 대전역에서 만난 시민들의 일상적인 보안 실천으로 이어지기를 바란다. 그 토대 위에서만 AI 3대 강국의 꿈도 단단히 설 수 있다.

[글_ 이만희 한국정보보호학회 상임부회장/공급망보안연구회 위원장/한남대학교 컴퓨터공학과 교수]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다