AI 보안의 진짜 문제는 모델이 아니라 정체성이었다

인공지능 확산이 가속화되는 가운데, AI 보안의 무게중심이 모델 보호에서 ‘비인간 정체성(NHI, Non-Human Identity)’ 통제로 이동하고 있다는 분석이 나왔다.

클라우드 및 IT 보안 분야의 국제 비영리 기관인 CSA(Cloud Security Alliance)는 전 세계 IT·보안 전문가 383명을 대상으로 한 온라인 설문을 바탕으로 『The State of Non-Human Identity and AI Security』 보고서를 발간했다. 이번 연구는 AI 기반 아이덴티티 보안 기업 Oasis Security의 의뢰로 수행됐다.

새로운 패러다임이 아니라 증폭된 취약성

보고서는 AI가 전혀 새로운 보안 패러다임을 만들어냈다기보다, 기존 IAM(Identity and Access Management, 신원·접근관리) 체계의 구조적 취약성을 기하급수적으로 증폭시키고 있다고 진단했다.

보고서에 따르면 다수의 조직은 AI 계정을 서비스 계정이나 API 키 등 기존 비인간 계정의 연장선에서 관리하고 있다. 문제는 ‘규모’와 ‘속도’다. AI는 자율적으로 계정과 토큰을 생성·사용하며, 그 결과 자격증명 난립(credential sprawl), 권한 과잉 부여, 소유권 불명확과 같은 오래된 문제를 훨씬 빠른 속도로 확대한다.

누가 책임지는지 모른다

특히 거버넌스 공백이 두드러졌다. AI 계정의 생성·삭제에 대해 공식 정책을 갖춘 조직은 4곳 중 1곳에도 미치지 못했고, 완전 자동화된 관리 체계를 운영하는 곳은 극히 제한적이었다. 사고 대응이 지연되는 가장 큰 이유 역시 ‘누가 책임지는지 모른다’는 소유권의 불분명성으로 나타났다.

레거시 IAM 체계와 AI의 속도 간 충돌도 분명했다. 기존 IAM은 인간 중심, 수동 검토, 예외 처리 기반으로 설계되어 있어 AI가 대량으로 생성하는 계정과 토큰을 실시간으로 통제하기 어렵다. 노출된 자격증명을 회수하는 데 하루 이상이 소요되는 사례도 적지 않아, 공격자에게 장기간 활용 가능한 ‘지속적 접근 경로(persistent foothold)’를 남길 수 있다는 지적이다.

무엇을 할 수 있는가보다, 무엇에 접근할 수 있는가

이 보고서는 결론적으로 AI 보안의 본질이 모델 안전성 강화에만 있지 않다고 강조한다. 핵심 과제는 AI가 생성하고 사용하는 비인간 정체성을 가시화하고, 자동화된 수명주기 관리와 명확한 책임 구조를 정립하는 데 있다. AI 시대의 보안 경쟁력은 결국 “AI가 무엇을 할 수 있는가”보다 “AI가 무엇에 접근할 수 있는가”를 얼마나 정교하게 통제하느냐에 달려 있다는 것이다.

앞으로 AI 보안 정책은 모델 검증이나 알고리즘 안전성 논의에 머물 것이 아니라, NHI 관리 기준, 자동화된 자격증명 회수 체계, 책임 주체 명확화 등 ‘정체성 거버넌스’까지 포함해야 한다. AI가 생성하는 계정과 권한을 통제하지 못한다면, 어떤 안전한 모델도 구조적 취약성을 피하기 어렵기 때문이다. AI 시대의 보안 정책은 결국 정체성 통제의 성숙도 위에서 평가될 것이다.

*출처: https://cloudsecurityalliance.org/artifacts/state-of-nhi-and-ai-security-survey-report