.
.
| AI가 소프트웨어의 취약점을 발견하고 공격하는 속도를 높이면서 기존 사이버보안체계가 새로운 도전에 직면하고 있다. 기업은 주기적인 보안점검과 사후 대응에서 벗어나 AI를 활용한 지속적인 위험 탐지와 신속한 대응체계를 갖춰야 한다. 특히 AI 에이전트가 실제 업무를 수행하기 시작하면서 실행권한과 행동에 대한 통제도 중요한 보안 과제로 떠오르고 있다. 기업의 사이버보안체계를 네 가지 측면에서 재설계하라는 맥킨지 컨설팅의 대응 전략을 음미해보기 바란다. 한편 한국 중소기업에서는 AI 도입의 필요성에 대한 높은 인식에도 불구하고 구체적인 실행계획이 부족한 것으로 나타났다. AI 시대의 기업 경쟁력은 기술의 도입 자체보다 변화에 대응하고 이를 실질적인 성과로 연결하는 능력에 달려 있다. . 미래학자 이경상 책임교수의 신간 『포텐 폭발, AI 분신테크』를 서점에서 만나 보세요. |
,
,
[Future Signal] AI가 사이버보안의 기존 질서를 바꾸기 시작했다
| 대표 뉴스 11월 3일 | McKinsey, 첨단 AI가 소프트웨어 취약점 발견과 공격속도를 높이면서 기존 보안체계의 근본적인 전환 필요성 제기 11월 4일 | 미국 OCC, 은행의 AI 감독에서 모델의 기술적 수준보다 실제 수행업무와 실행권한, 오류의 파급력을 중시하는 감독체계 발표 11월 5일 | Reuters, 2026년 3분기 소프트웨어·시스템 취약점 약 3만 7,000건 보고, 전년 동기 대비 약 3배 증가. AI를 활용한 공격과 방어 경쟁 심화 주장 11월 5일 | OpenAI, 사이버보안 특화 모델 GPT-6 Cyber 공개. Firefox에서 신규 고위험 취약점 81건을 발견하고 Linux 취약점 948건에 대한 작동하는 공격 코드를 개발 |
.
AI가 사이버공격과 방어의 속도를 동시에 높이고 있다
AI가 사이버보안의 오랜 전제를 무너뜨리고 있다. 지금까지 소프트웨어의 취약점을 발견하고 실제 공격에 이용하려면 높은 수준의 전문지식과 상당한 시간이 필요했다. 기업은 발견된 취약점의 위험도를 평가하고 수정할 시간을 어느 정도 확보할 수 있었다. 그러나 첨단 AI가 등장하면서 상황이 달라지고 있다. AI는 방대한 소프트웨어 코드를 분석하고, 사람이 놓쳤던 취약점을 찾아내며, 공격 가능성까지 검토할 수 있다. 이러한 능력은 기업의 보안 담당자뿐 아니라 공격자도 활용할 수 있다.
11월 3일 McKinsey가 발표한 《 최첨단 AI가 소프트웨어 보안의 규칙을 어떻게 다시 쓰고 있는가 (How frontier AI is rewriting software security rules)》는 이러한 변화를 구체적으로 보여준다.
McKinsey는 보고서에서 Anthropic이 지난 5월 공개한 Project Glasswing의 성과를 소개했다. 이 프로젝트에서는 Claude Mythos Preview를 활용해 심각도가 높거나 치명적인 소프트웨어 취약점 1만 건 이상을 발견했으며, 일부 참여기관은 취약점 발견속도가 10배 이상 빨라졌다고 보고했다. 수십 년 동안 발견되지 않았던 소프트웨어 결함까지 AI가 찾아낸 사례도 있었다.
이러한 변화는 11월 5일 OpenAI가 공개한 사이버보안 특화 모델 GPT-6 Cyber에서도 확인된다. 이 모델은 Firefox에서 알려지지 않았던 고위험 취약점 81건을 발견하고, Linux의 취약점 948건에 대해 실제 작동하는 공격 코드를 개발했다. 모의 공격 평가에서도 성공률이 이전 모델의 32.1%에서 48.5%로 높아졌다. AI가 취약점 발견뿐 아니라 공격 가능성 검증과 수정안 개발까지 수행하기 시작한 것이다. OpenAI는 이러한 능력이 악용될 위험을 고려해 모델의 접근을 승인된 보안 전문가로 제한하고 있다.
문제는 취약점을 발견하는 속도와 수정하는 속도가 다르다는 점이다. McKinsey가 인용한 조사에 따르면 2026년 악용된 취약점 가운데 약 3분의 2는 취약점이 공개된 당일 또는 그 이전에 이미 공격에 이용되고 있었다. 반면 Verizon의 2026년 데이터 침해 조사보고서(DBIR)에 따르면, 실제 공격에 이용된 것으로 알려진 취약점 가운데 완전히 수정되기까지 걸리는 기간의 중앙값은 32일에서 43일로 늘어났다. AI가 취약점 발견과 공격을 가속하는 반면, 기업의 수정·복구 능력은 그 속도를 따라가지 못하고 있다.
.
사이버보안의 경쟁이 ‘취약점 발견’에서 ‘대응능력’으로 이동하고 있다
11월 5일 Reuters의 보도도 이러한 변화를 뒷받침한다. 2026년 3분기에 보고된 소프트웨어와 시스템의 취약점은 약 3만 7,000건으로 전년 동기의 약 3배에 달했다. 물론 이 증가를 모두 AI 때문이라고 볼 수는 없다. 그러나 AI가 취약점 발견과 공격기술 개발을 빠르게 만들면서 기업의 보안 부담이 커지고 있다는 점은 분명하다.
기업들도 AI를 활용해 대응하기 시작했다. Booking.com은 AI를 이용한 위협 탐지와 보안 분석을 강화하고 있으며, Siemens와 로테르담항 등 산업 및 핵심 인프라 운영기관들도 AI 기반 보안기술을 개발하거나 시험하고 있다.
여기서 새로운 문제가 등장한다. AI가 취약점을 더 많이 찾아내더라도 기업이 이를 모두 수정할 수 있는 것은 아니다. 수많은 취약점 가운데 실제 공격에 이용될 가능성이 높고, 기업의 핵심 업무에 큰 피해를 줄 수 있는 문제부터 해결해야 한다. 따라서 보안의 핵심은 취약점을 얼마나 많이 발견하는가에서, 어떤 위험을 먼저 해결하고 얼마나 빠르게 피해를 차단하는가로 이동하고 있다.
.
기업의 보안 운영체계 자체를 바꿔야 한다
McKinsey는 기존의 주기적인 취약점 점검과 사후 수정만으로는 새로운 환경에 대응하기 어렵다고 지적한다. 이에 따라 기업의 사이버보안체계를 네 가지 측면에서 재설계할 것을 제안한다.
첫째, 주기적인 점검에서 AI 기반의 지속적인 탐지로 전환해야 한다. 여러 AI 모델과 기존 보안도구를 결합해 취약점을 지속적으로 발견하고, 실제 공격 가능성과 사업에 미치는 영향을 기준으로 대응 우선순위를 결정해야 한다.
둘째, 보안을 소프트웨어 개발과 운영과정에 내재화해야 한다. AI가 코드를 작성하고 수정하는 단계부터 보안검증을 수행하고, 문제가 있는 코드가 실제 시스템에 적용되지 않도록 해야 한다.
셋째, AI 에이전트를 새로운 권한관리 대상으로 다뤄야 한다. AI가 기업의 시스템에 접근하고 코드를 수정하거나 업무를 실행할 경우, 에이전트별 신원과 권한을 부여하고 모든 행동을 기록·검증해야 한다.
넷째, 침해 가능성을 전제로 피해 확산을 차단해야 한다. 모든 공격을 사전에 막을 수 있다는 가정보다, 일부 시스템이 침해되더라도 핵심 데이터와 다른 시스템으로 피해가 확산되지 않도록 설계해야 한다.
이러한 변화는 사이버보안이 보안부서만의 업무가 아니라 소프트웨어 개발, 시스템 운영, 위험관리와 경영진의 의사결정을 연결하는 기업 운영체계의 일부가 되어야 한다는 의미다.
.
AI 에이전트의 실행권한이 새로운 위험관리 대상이 되고 있다
11월 4일 미국 통화감독청(OCC)은 은행의 고도화된 AI와 AI 에이전트 활용을 평가하기 위한 검사관용 감독 프레임워크를 발표했다. OCC는 AI를 별도의 위험 범주로 일률적으로 취급하기보다 실제 활용업무의 중요성과 위험 수준에 따라 평가하도록 안내했다. 이 문서는 새로운 규제의무를 부과하지 않지만, AI의 기술적 성능보다 실제 업무에서 발생할 수 있는 위험과 통제가 중요해지고 있음을 보여준다.
예를 들어 복잡한 AI 모델이 내부 문서를 요약하는 경우보다, 상대적으로 단순한 AI 에이전트가 실제 금융거래를 실행하는 경우에 더 강한 통제가 필요할 수 있다. 중요한 것은 모델의 기술적 수준이 아니라 AI에 위임한 권한과 행동의 결과이기 때문이다.
이번 지침은 은행에 새로운 법적 의무를 부과하는 규정은 아니다. 그러나 AI 에이전트의 자율성과 실행권한이 커질수록 위험관리도 달라져야 한다는 방향을 보여준다. 기업은 이제 사람의 계정과 접근권한뿐 아니라, AI 에이전트가 어떤 시스템에 접근하고 무엇을 실행할 수 있으며 누가 그 결과에 책임지는가까지 관리해야 한다.
| OCC 보고서: Super Intelligence: Supervisory Framework (초지능 AI 감독 프레임워크) |
.
미래학자 Insight
AI 시대의 사이버보안은 ‘침입을 막는 기술’에서 ‘위험을 지속적으로 관리하는 운영능력’으로 진화하고 있다.
지금까지 기업은 보안시스템을 구축하고 취약점을 주기적으로 점검하며, 사고가 발생하면 대응하는 방식으로 보안을 관리해 왔다. 그러나 AI가 소프트웨어를 만들고 수정하며, 동시에 취약점을 찾아 공격하는 시대에는 이러한 방식만으로 충분하지 않다. 취약점은 더 빠르게 발견되고, 공격에 이용되는 시간은 짧아지며, AI 에이전트라는 새로운 실행 주체까지 등장하고 있다. 앞으로 기업은 AI를 이용해 위험을 지속적으로 탐지하고, 실제 피해 가능성을 판단하며, 필요한 대응을 신속하게 실행하는 체계를 갖춰야 한다. 이 과정에서 사람은 중요한 판단과 권한을 통제하고, AI는 방대한 탐지·분석·대응 업무를 수행하는 협업구조가 중요해질 것이다.
이러한 변화는 사이버보안 산업에도 새로운 기회를 만든다. 단순한 보안도구 판매를 넘어 AI 기반의 지속적 위험관리, 에이전트 신원·권한관리, 자동화된 보안검증, 침해 확산 차단과 복구를 통합하는 서비스의 중요성이 커질 것이다.
미래의 사이버보안 경쟁력은 공격을 완벽하게 막는 능력이 아니라, 위험을 더 빨리 발견하고 피해를 최소화하며 핵심 사업을 계속 운영할 수 있는 능력에서 결정될 것이다.
.
.
[금주의 핵심 보고서]
한국 중소기업, AI 도입의 필요성은 알지만 실행계획은 부족하다
| 2026년 중소기업 AI 도입·활용 실태조사 발표기관: 한국경영혁신중소기업협회(메인비즈협회) 발표일: 2026년 11월 2일 조사대상: 메인비즈기업 307개사 |
.
AI 도입의 필요성 인식과 실행계획 사이에 큰 격차가 존재한다
한국 중소기업의 AI 전환이 예상보다 더딘 이유는 무엇일까? 11월 2일 메인비즈협회가 발표한 「2026년 중소기업 AI 도입·활용 실태조사」는 그 원인을 구체적으로 보여준다.
조사에 참여한 중소기업의 71.4%는 경쟁력 확보와 성장을 위해 AI 도입이 필요하다고 응답했다. 그러나 향후 2년 이내 AI 도입을 확대하거나 고도화하기 위한 구체적인 추진계획을 수립 중인 기업은 **17.6%**에 그쳤다.
두 응답의 차이는 53.8%포인트에 달한다. 다만 서로 다른 질문에 대한 응답이므로 이를 AI 미도입률이나 실행 실패율로 해석해서는 안 된다. 중요한 것은 AI의 필요성을 인식하는 것과 실제 투자·업무혁신 계획을 수립하는 것 사이에 상당한 간극이 존재한다는 사실이다.
.
AI 도입의 장애요인은 단계마다 다르다
이번 조사에서 특히 주목할 부분은 중소기업이 AI 도입을 준비하고, 시스템을 구축하며, 실제 업무에 활용하는 과정에서 서로 다른 어려움을 겪고 있다는 점이다.
도입 준비단계에서는 기업에 적합한 AI 활용사례를 찾기 어렵다는 응답이 49.2%로 가장 높았다. 기대효과와 투자성과가 불확실하다는 응답도 31.6%였다. AI를 활용해야 한다는 사실은 알지만, 어떤 업무에 적용해야 경제적 효과를 얻을 수 있는지 판단하기 어렵다는 의미다.
시스템 구축단계에서는 기업의 업무 특성에 맞게 AI 시스템을 수정하기 어렵다는 응답이 44.6%, 기존 시스템 및 데이터와의 연계가 어렵다는 응답이 38.5%였다. 중소기업의 AI 전환이 범용 AI 솔루션을 구매하는 것만으로 해결되기 어렵다는 사실을 보여준다.
실제 활용단계에서는 사용료와 유지비 부담이 47.1%로 가장 높았다. AI 결과물을 검토하고 활용하는 역량이 부족하다는 응답도 37.3%였다. AI를 도입한 이후에도 운영비용과 사람의 검증능력이 지속적인 활용을 좌우하고 있는 것이다.
이러한 결과는 중소기업의 AI 전환에 필요한 지원이 단계마다 달라야 한다는 점을 시사한다. 도입 전에는 업무진단과 경제성 검토가, 구축 과정에서는 시스템 통합과 맞춤형 개발이, 실제 활용단계에서는 운영비용 관리와 직원 역량 강화가 중요하다.
.
중소기업은 AI 전문인력보다 기존 직원의 역량 강화를 선호한다
AI 인력에 대한 조사결과도 주목할 만하다. 응답기업의 56.0%는 AI 전문인력이 필요하다고 답했다. 그러나 AI 인력 확보방안으로는 기존 직원을 교육해 AI 담당인력으로 전환하는 방식을 선호한다는 응답이 50.4%였다.
이는 별도의 AI 전문가를 대규모로 채용하기 어려운 중소기업의 현실을 반영한다. 동시에 현장업무를 잘 이해하는 기존 직원에게 AI 활용능력을 부여하는 방식이 실질적인 대안이 될 수 있음을 보여준다. 생산관리자가 AI로 생산계획을 분석하고, 품질관리자가 불량 원인을 탐색하며, 영업담당자가 고객정보를 분석하는 방식이다. 이처럼 직원의 현장지식과 AI의 분석·실행능력을 결합하는 하이브리드 인텔리전스(Hybrid Intelligence)가 중소기업에 적합한 혁신모델로 발전할 가능성이 있다.
,
중소기업 AI 지원정책과 공급산업의 변화가 필요하다
이번 조사에서 기업 상황에 적합한 AI 지원사업이 마련되면 참여하겠다는 응답은 58.0%였다. 이는 중소기업의 AI 전환을 촉진할 수 있는 정책적 여지가 존재한다는 의미다.
그러나 정부가 AI 솔루션 구매비용을 지원하는 것만으로는 충분하지 않다. 기업이 해결해야 할 업무 문제를 진단하고, 적합한 AI를 선택하며, 기존 시스템과 연결하고, 실제 경제적 성과를 검증하는 과정까지 지원해야 한다. 정부의 지원성과 역시 AI 솔루션 도입기업 수나 교육 수료자 수보다 실제 업무성과가 얼마나 개선되었는지를 중심으로 평가할 필요가 있다.
중소기업 AI 전환의 핵심은 기술을 보급하는 것이 아니라, 기업이 AI를 활용해 경제적 성과를 만들어낼 수 있도록 돕는 것이다. 이를 위해서는 업무진단 → 적용과제 선정 → 소규모 실증 → 경제적 성과 검증 → 현장 확산 → 지속적인 개선으로 이어지는 단계별 지원체계가 필요하다.
앞으로 중소기업의 AI 경쟁력은 얼마나 많은 AI 도구를 도입했는가보다, 기존 직원의 전문성과 기업의 업무 데이터를 AI와 얼마나 효과적으로 결합하고 실제 성과로 연결하는가에 따라 달라질 것이다.
– Vol. 20 끝 –