기업의 인공지능(AI) 활용이 빠르게 확대되면서 AI 자체가 정보보안 투자를 늘리는 주요 요인으로 부상하고 있다. 업무 효율성과 생산성을 높이기 위해 생성형 AI와 대규모 언어 모델(LLM)을 도입하는 기업이 늘어나는 가운데, 외부 AI 서비스를 통제되지 않은 방식으로 사용하는 ‘섀도우 AI’와 AI 시스템의 취약점에 대한 우려도 함께 커지고 있다.

카스퍼스키가 내부 연구센터를 통해 실시한 글로벌 조사에 따르면 기업의 41%가 AI 도입을 정보보안 투자 확대의 주요 요인으로 꼽았다. IT 보안 침해에 따른 비용 증가와 클라우드 인프라 전환, 최근 경험한 보안 사고 등도 보안 예산 확대에 영향을 미치는 요소로 조사됐다.

AI가 기업 IT 환경에 빠르게 편입되면서 관련 취약점에 대한 경계도 높아졌다. 조사 대상 기업의 19%는 AI 취약점을 현재 조직이 직면한 가장 위험한 위협 가운데 하나로 지목했다. 피싱이 22%로 가장 높았고 대규모 악성코드 공격이 20%로 뒤를 이었으며, AI 취약점은 세 번째로 높은 비중을 차지했다.

특히 디지털 자산 의존도가 높은 금융과 IT, 정부 부문에서 AI 관련 보안 위협에 대한 인식이 상대적으로 두드러진 것으로 나타났다. 카스퍼스키는 디지털 자산의 중요도가 높은 산업일수록 사이버 공격의 주요 표적이 되는 만큼 AI 도입 과정에서도 추가적인 보안 대응이 요구된다고 설명했다.

업무용 외부 AI 확산…‘섀도우 AI’ 관리 과제로

기업이 우려하는 AI 보안 문제는 외부 공격에만 그치지 않는다. 직원들이 기업의 공식적인 승인이나 관리 체계 밖에서 ChatGPT, DeepSeek 등 외부 AI 서비스를 업무에 활용하는 ‘섀도우 AI’도 새로운 내부 보안 위험으로 떠오르고 있다.

조사 응답자의 31%는 직원들의 외부 AI 도구 사용을 일반적인 위험 요인으로 인식했다. 업무 과정에서 기업 내부 정보나 문서가 외부 AI 서비스에 입력될 경우 데이터 유출이나 보안 침해로 이어질 가능성이 있어 기업 차원의 관리 정책이 필요하다는 의미다.

실제 많은 기업은 AI 도구 사용을 전면 차단하기보다 일정한 제한과 관리 조건을 두는 방식을 택하고 있었다.

조사에 따르면 조직의 59%는 회사명이나 내부 문서 업로드를 금지하는 등 일정한 제한을 설정한 상태에서 외부 AI 도구 사용을 허용하고 있었다. 23%는 별도의 접근 제한을 두지 않는 대신 안전한 AI 사용을 위한 지침과 교육을 제공하고 있는 것으로 조사됐다.

다만 직원들이 외부 AI 도구를 어떤 방식으로 사용하는지 기업이 완전히 파악하거나 통제하지 못하는 사례도 있어, AI 활용 현황에 대한 가시성과 관리 체계 확보가 기업 보안의 새로운 과제로 제시되고 있다.

기업 81% 내부 AI 검토·도입…효율성과 품질 개선 기대

보안 우려에도 기업의 AI 도입 속도는 늦춰지지 않고 있다.

조사 대상 기업 가운데 81%는 LLM을 기반으로 한 내부 AI 도구를 적극적으로 검토하거나 도입하고 있는 것으로 나타났다. 이 가운데 18%는 이미 AI 기술을 실제 업무 프로세스에 통합했다.

기업이 내부 AI 솔루션을 도입하는 가장 큰 이유는 업무 효율성과 정확성, 결과물 품질 개선이었다.

자체 AI 솔루션을 도입한 기업의 59%가 프로세스 효율성 향상을 주요 도입 이유로 꼽았으며, 인적 오류 감소와 고객에게 제공하는 결과물의 품질 향상도 각각 59%를 기록했다.

AI를 단순한 업무 보조 도구에서 벗어나 기업의 운영 효율성을 높이고 경쟁력을 확보하기 위한 핵심 기술로 활용하려는 움직임이 확대되고 있는 셈이다.

카스퍼스키 “AI 도입 단계부터 보안 체계 함께 설계해야”

블라디슬라프 투시카노프 카스퍼스키 AI 기술 연구센터 그룹 매니저는 “기업들이 비즈니스 프로세스를 가속화하고 반복적인 업무를 줄이기 위해 AI를 적극적으로 도입하면서 AI 취약점과 섀도우 AI와 같은 보안 위험도 함께 증가하고 있다”고 말했다.

이어 “보안 침해를 예방하고 보안 관리를 간소화하는 동시에 위협을 빠르게 차단하고 영향을 줄일 수 있는 통합 보안 체계가 필요하다”며 “여러 보안 도구를 통합하고 AI 기반 자동화를 활용하면 인력을 추가하지 않고도 보안 운영 효율성을 높이고 보안 투자를 최적화할 수 있다”고 설명했다.

이효은 카스퍼스키 한국지사장은 국내 기업에서도 AI 도입 확대와 함께 관리되지 않는 AI 사용에 따른 위험이 커지고 있다고 진단했다.

이 지사장은 “한국 기업들은 다양한 산업에서 운영 민첩성을 높이기 위해 AI를 적극적으로 도입하고 있지만 디지털 전환 과정에서 새로운 보안 문제도 나타나고 있다”며 “직원들이 관리되지 않은 상태에서 섀도우 AI를 사용할 경우 민감한 데이터 유출 가능성이 높아질 수 있으며, AI를 활용한 새로운 위협까지 등장하면서 기업의 방어 환경도 복잡해지고 있다”고 말했다.

이어 “기업들은 AI 보안을 사후적으로 고려하기보다 AI 도입 전략에 보안을 함께 포함해야 한다”며 “AI 관련 활동에 대한 가시성을 확보하고 통합 보안 플랫폼을 도입하는 접근이 필요하다”고 덧붙였다.

카스퍼스키는 AI 관련 보안 위험에 대응하기 위해 실시간 보호와 위협 가시성, 조사·대응 기능을 결합한 엔드포인트 탐지 및 대응(EDR)과 확장형 탐지 및 대응(XDR) 체계를 구축할 것을 권고했다.

AI 기반 기능을 활용해 보안 프로세스를 자동화하면 보안 담당자의 반복 업무를 줄이고 기술 격차를 보완할 수 있다는 설명이다. 생성형 AI를 활용해 수집된 보안 데이터를 구조화하고 보안팀과 의사결정자가 활용할 수 있는 정보로 변환하는 방식도 제시했다.

이와 함께 조직을 대상으로 발생하는 사이버 위협을 분석할 수 있도록 위협 인텔리전스를 활용해 사고 관리 전 과정에서 관련 정보를 확보하는 방안도 권고했다. 머신러닝과 생성형 AI를 악성코드 분류, 대규모 위협 데이터 분석, 침해 지표 요약 등에 적용해 보안 담당자의 의사결정 속도와 정확도를 높이는 방식이다.

기업의 AI 도입이 본격화되면서 앞으로 AI 활용 확대와 보안 체계 강화가 동시에 진행될 가능성이 높아지고 있다. 업무 효율성을 위해 AI 사용 범위가 넓어질수록 기업 내부 데이터 관리와 외부 AI 서비스 이용 정책, AI 시스템 자체의 취약점 관리까지 포함한 종합적인 보안 전략의 중요성도 함께 커질 것으로 보인다.

이준문 기자/jun@newstap.co.kr

ⓒ 뉴스탭(https://www.newstap.co.kr) 무단전재 및 재배포금지