공공기관 AI 보안 강화 나선 국정원, 연내 레드티밍 지침 배포

공공기관이 인공지능을 업무에 활용하는 흐름이 빨라지는 가운데, 보안 대응 체계가 충분하지 않다는 우려도 함께 커지고 있다. 국가정보원은 이런 상황에 맞춰 연내에 레드티밍 가이드라인을 마련해 배포할 계획이다. AI를 도입한 공공부문 전반에서 취약점을 사전에 점검하고, 안전한 활용 기준을 세우겠다는 취지다.

최근 행정과 민원, 문서 처리 등 다양한 영역에서 생성형 AI 활용이 확산되고 있다. 그러나 편의성에 비해 보안 관리가 뒤따르지 못하면 민감 정보 유출이나 오작동 위험이 커질 수 있다. 특히 공공기관은 일반 기업보다 더 엄격한 정보 보호 기준이 요구되는 만큼, 도입 속도에 맞는 안전장치가 필요하다는 지적이 이어져 왔다.

레드티밍은 실제 공격자처럼 시스템을 점검해 허점을 찾는 방식의 보안 검증을 뜻한다. AI 환경에서는 모델이 잘못된 정보를 내놓거나, 내부 정보를 노출하거나, 의도하지 않은 방식으로 악용될 가능성을 살펴보는 작업이 중요하다. 국정원이 준비하는 가이드라인은 이런 점검 절차를 공공부문에 맞게 정리하는 데 초점이 맞춰질 것으로 보인다.

이번 조치는 단순한 기술 권고를 넘어, 공공기관이 AI를 도입할 때 따라야 할 보안 기준을 제시하는 의미를 가진다. 기관마다 활용 목적과 시스템 구조가 다르기 때문에, 통일된 원칙이 없으면 점검 수준도 제각각일 수밖에 없다. 가이드라인이 배포되면 각 기관은 이를 바탕으로 자사 환경에 맞는 검증 체계를 마련할 수 있다.

그동안 공공부문에서는 AI 활용 확대가 국가 경쟁력 강화와 행정 효율화 측면에서 강조돼 왔다. 하지만 내부 문서나 개인정보가 오가는 특성상 보안 문제가 함께 고려되지 않으면 오히려 위험 요인이 될 수 있다. 외부 서비스와 연동되는 경우도 많아 공급망 차원의 점검 필요성도 커지고 있다.

업계에서는 이번 지침이 공공기관의 AI 도입 속도를 늦추기보다, 오히려 안정적으로 확산시키는 기반이 될 수 있다고 본다. 명확한 점검 기준이 있으면 기관들은 보안 우려를 줄이면서도 기술 적용 범위를 넓히기 쉽다. 민간에서도 비슷한 방식의 검증 체계가 참고될 수 있다는 관측이 나온다.

AI 보안의 핵심은 단순한 접근 차단에 그치지 않는다. 입력값 조작, 비정상 응답 유도, 데이터 노출, 권한 오남용 등 다양한 위협을 함께 살펴야 한다. 특히 생성형 AI는 사용 방식에 따라 결과가 달라질 수 있어, 실제 환경을 가정한 반복 검증이 중요하다.

공공기관의 경우 국민 정보와 직결된 업무를 다루는 만큼, 기술 도입 과정에서 사전 점검의 비중이 더 클 수밖에 없다. 새로운 서비스를 빨리 쓰는 것만큼이나, 어떤 데이터를 넣고 어떤 결과를 받는지 확인하는 절차가 중요하다. 이런 점에서 레드티밍은 AI 활용의 필수 단계로 자리잡을 가능성이 크다.

국정원의 가이드라인은 기관별 보안 담당자에게도 실무 기준을 제공할 것으로 예상된다. 기술 부서만의 문제가 아니라, 운영 부서와 보안 부서가 함께 점검하는 체계가 필요하기 때문이다. AI가 행정의 도구로 자리 잡을수록 관리 책임도 더욱 분명해질 수밖에 없다.

전문가들은 공공부문이 AI를 도입할 때 성능뿐 아니라 안전성 평가를 함께 해야 한다고 강조한다. 특히 외부에서 제공되는 모델이나 서비스를 활용하는 경우에는 신뢰도 검증이 중요하다. 이번 가이드라인 배포는 이런 흐름에 제도적 기준을 더하는 계기가 될 전망이다.

향후에는 공공기관뿐 아니라 공공과 연계된 민간 시스템에서도 유사한 기준이 요구될 가능성이 있다. AI가 일상적인 업무 인프라로 확장될수록, 보안 점검은 선택이 아니라 필수 절차가 되고 있다. 국정원의 이번 조치가 국내 AI 활용 환경의 안전성을 높이는 출발점이 될지 주목된다.

국가 보안용 AI, 해외 확산 길 열린다…네이버클라우드 “글로벌 AI 인프라에서 구현”

오픈AI, AI 안전성 검증 한계 인정…정렬 실패 사례 공개 확대

낯선 환경에서도 길 찾는 로봇 기술 주목…공간 인식 AI 개발

멀티캠퍼스, AI 학습을 현장 결과로 연결하는 ‘AX 해커톤’ 선보여

SK, AI 해커톤 마무리…39개 멤버사 271개 팀이 혁신 아이디어 겨뤄