우수한 보안은 탄탄한 방어에서 시작되며, 그런 점에서 생성형 AI도 최근 몇 년간 등장한 다른 신기술과 다르지 않습니다. 예방, 탐지, 대응은 다른 앱이나 공격 표면과 마찬가지로 AI를 겨냥한 위협으로부터 애플리케이션을 보호하는 데 필수적입니다. 공격자의 목표는 언제나 같습니다. 환경에 침입하고, 비밀 정보와 독점 데이터에 접근하며, 운영을 방해하고, 시스템을 장악하거나, 브랜드에 피해를 입히는 것입니다.
차이점은 최종 사용자들이 생성형 AI를 빠르게 도입하고 있으며, 조직 내부에는 이 흐름에 올라타지 않으면 경쟁사에 뒤처질 것이라는 위기감이 팽배하다는 것입니다. 보안 팀은 직원들이 승인되지 않은 대규모 언어 모델(LLM)을 예상보다 광범위하게 사용하고 있다는 사실과 경영진이 LLM 기반 애플리케이션을 얼마나 빠르게 프로덕션 환경에 도입하려 하는지에 당황하고 있습니다. 위협은 바로 내부에서 시작되고 있습니다!
또 다른 차이점은 가장 널리 사용되는 LLM이 자연어 기반 인터페이스를 제공하여 선의의 사용자와 악의적인 사용자 모두의 진입 장벽을 낮춘다는 것입니다. 단순한 줄 바꿈, 이모지, 시까지도 효과적인 프롬프트 공격 기법으로 활용되는 상황에서 방어자는 새로운 대응 기술을 익혀야 합니다(어쩌면 유의어 사전까지 꺼내 들어야 할지도 모릅니다).
이러한 요인들이 맞물리면서 보안 팀은 난처한 상황에 놓이게 되었습니다. 위험과 불확실성이 큰 상황에서 전통적으로 사용해 온 방어 방식은 허용되는 활동의 범위를 좁혀 노출을 제한하는 것입니다. LLM의 경우에는 사용할 수 있는 모델과 접근 권한이 있는 사용자, 그리고 허용되는 프롬프트와 응답을 통제하는 것을 의미합니다. 하지만 통제가 지나치게 엄격하면 생산성과 직원 사기, 고객 경험이 저하될 수 있습니다. 의료 챗봇과 대화하는 중에 증상을 설명하려 했지만 성적 용어 관련 정책에 위배된다는 이유로 차단되는 상황을 상상해 보십시오.
보안 팀에 필요한 것은 통제력, 역량, 그리고 유연성입니다. 이를 통해 원활한 운영, 성공적인 프로젝트, 우수한 경험을 지원하는 동시에 조직과 직원, 고객을 보호할 수 있습니다.
AI 보안을 위한 솔루션
제어
- 데이터 보안: 민감한 데이터나 독점 데이터를 보유하고 직원용 내부 AI 애플리케이션을 구축하는 조직에는 데이터를 기업 내부에 유지하는 온프레미스 솔루션이 더 적합한 경우가 많습니다.
- 강력한 액세스 제어: 개인과 팀은 물론 점차 AI 에이전트에도 세분화된 권한을 적용하여 모델, 가드레일 및 운영 지표에 대한 액세스를 제한하고 비용을 통제합니다.
- 규제 준수: 조직이 산업별 및 지역별 요구 사항을 아우르며 빠르게 늘어나는 AI 사용 및 데이터 개인정보 보호 관련 규제 체계를 준수할 수 있도록 지원하는 기능입니다.
역량
- 신속한 가치 실현: 보안 솔루션은 특히 온프레미스 환경에 설치할 때 빠르고 간편하게 배포하고 설정할 수 있어야 조직이 애플리케이션을 더 신속하게 빌드, 테스트 및 출시할 수 있습니다.
- GenAI 기반 방어: 정규식 및 신경망 기반 가드레일도 여전히 장점이 있지만, GenAI가 제공하는 적응성과 맥락 인식 능력에는 크게 미치지 못합니다.
- 레드팀 테스트: 공급업체 솔루션은 실제와 같은 적대적 공격을 재현하는 도구를 제공하여, 애플리케이션을 프로덕션 환경에 배포하기 전은 물론 새로운 공격과 취약점이 발견될 때마다 적절히 테스트할 수 있도록 해야 합니다.
유연성
- 모델 독립성: 기업은 사용 사례에 가장 적합한 공개 모델을 선택하고, 더 나은 모델이 나오면 변경하며, 자체 내부 모델과 RAG 데이터를 활용할 수 있어야 합니다.
- 맞춤 설정: 어떤 보안 솔루션도 모든 구체적인 사용 사례와 위험 프로필을 예측할 수는 없으므로, 조직은 기본 제공되는 제어 기능과 공격 시나리오를 조정하고 세밀하게 튜닝할 수 있어야 합니다.
- 강력한 API: 모든 엔터프라이즈 보안 제품에는 데이터를 기존 워크플로로 가져올 수 있는 우수한 API가 필수적입니다.
- 배포 옵션: 애플리케이션마다 워크플로가 다르므로, 인프라 팀은 기술 스택 내에서 AI 보안 도구를 어디에 배치할지 유연하게 결정할 수 있기를 원합니다.
현재 시장에는 AI 애플리케이션 보안 문제를 해결하는 솔루션이 소수에 불과합니다 그중에서도 오직 F5 AI 런타임 보안 솔루션만이 보안 팀이 내부용 및 고객 대상 GenAI 기반 애플리케이션을 효과적으로 방어할 수 있도록 지원하는 데 명확히 초점을 맞추고 있습니다.
작성자 소개
관련 블로그 게시물
F5 NGINX Gateway Fabric로 AI 제공 표준화
F5 NGINX Gateway Fabric이 기업의 Kubernetes 트래픽 표준화, 애플리케이션 보안 강화, 대규모 AI 추론 준비를 어떻게 지원하는지 알아보세요.
F5의 CalypsoAI 인수 발표, TRiSM 프레임워크 구축을 향한 행보
F5의 CalypsoAI 전략적 인수를 통해 조직은 보안, 개인정보 보호 및 운영 통제력을 유지하면서도 안심하고 AI를 도입할 수 있습니다. 자세한 내용은 블로그에서 확인하세요.
사이버 복원력: LLM을 위한 OWASP Top 10 위험 완화
OWASP가 2025년 LLM 및 생성형 AI 앱을 위한 10대 위험 및 완화 방안을 발표하면서 업계에 절실히 필요했던 보안 기준이 마련되었습니다. 하지만 실행이 뒤따르지 않는 기준은 아무 의미가 없습니다. F5 AI 런타임 보안 솔루션은 OWASP 10대 위험의 80%에 대응하며, 현실에서 가장 시급한 위험을 우선적으로 해결합니다. 이 솔루션은 실시간 런타임 보호 기능을 결합하여 […]
석유 및 가스 산업을 위한 AI 보안
AI는 지질 모델링과 시추 최적화부터 파이프라인 모니터링, 예측 유지보수, 원자재 거래에 이르기까지 석유 및 가스 산업을 재편하고 있습니다. 하지만 이러한 미션 크리티컬 활용 사례에는 높은 위험도 따릅니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, 보호를 위한 Guardrails, 그리고 내장된 관측 가능성을 통해 석유 및 가스 산업을 안전하게 보호합니다. […]
인사 부서를 위한 AI 보안
AI는 HR을 혁신하고 있습니다. 기업들은 비용을 절감하고 직원 경험을 개선하기 위해 AI 기반 채용 코파일럿, 온보딩 도우미, 직원 지원 챗봇, 인력 분석 도구를 도입하고 있습니다. 하지만 HR 애플리케이션에는 규정 준수 실패, 편향 논란, 평판 훼손으로 이어질 수 있는 고유한 위험도 존재합니다. 당사의 AI 런타임 보안 솔루션은 다음과 같은 방식으로 HR 분야를 보호합니다. […]
기업 법무 관리를 위한 AI 보안
AI는 계약 검토 및 증거개시 자동화부터 규제 준수 모니터링과 민감한 지식재산 관리에 이르기까지 기업 법무팀의 업무 방식을 혁신하고 있습니다. 그러나 법률 환경은 AI 도입 시 가장 큰 위험이 따르는 분야 중 하나입니다. 당사의 AI 런타임 보안 솔루션은 검증을 위한 레드팀, Guardrails 등 세 가지 접근 방식으로 기업 법무 관리를 보호합니다 […]