The Global CISO 팟캐스트 시리즈에 오신 것을 환영합니다

F5 에코시스템 | 2025년 8월 28일

새로운 팟캐스트 시리즈 글로벌 CISO: 보안 전문가가 보안 전문가를 위해를 선보이게 되어 매우 기쁩니다. 저는 20년 넘게 CISO로 일해 왔으며, 현재는 F5에서 필드 CISO를 맡고 있습니다. 경험은 최고의 스승이지만, 그 대가는 클 수 있습니다. 그래서 CISO와 CIO가 놀라운 속도로 진행되는 전 세계의 기술 변화에 더 효과적으로 대응하고 미래의 정보 보안 과제에 대비할 방법을 논의하고자 이 팟캐스트 시리즈를 시작합니다.

F5는 전 세계 최대 규모의 은행, 자동차 제조업체, 통신사를 비롯해 170여 개국에서 23,000곳 이상의 기업 고객을 지원하고 있습니다. 저는 지난해 약 30만 마일을 이동하며 세계에서 가장 복잡한 조직들과 협력했습니다. 이 팟캐스트 시리즈에서는 이러한 경험과 관점을 바탕으로 오늘날 가장 중요한 정보 보안, 규정 준수, 위험 관리 동향을 살펴봅니다. 무엇이 효과가 있고 무엇이 그렇지 않은지, 그리고 CISO와 CIO가 AI 혁명의 힘을 활용해 빠르게 변화하는 세상에서 어떻게 성공할 수 있는지 이야기하겠습니다.

지금 듣기

에피소드 1: “API 관리, AI 보안 및 PQC”
에피소드 2: “자동화를 최우선으로: API, 옵저버빌리티 및 공급업체 책임에 관한 CTO 플레이북”

첫 번째 에피소드에서 얻을 수 있는 몇 가지 핵심 내용은 다음과 같습니다:

국가별 AI 모델에 담긴 이념을 주의 깊게 살펴보세요

AI 분야의 글로벌 리더십을 놓고 미국과 중국은 전 세계에서의 주도권과 글로벌 사우스에 대한 영향력을 확보하기 위해 경쟁하고 있습니다. 그러나 양국 모두 자국의 AI 스택에 이념적 제약을 내재화하고 있습니다. 미국의 AI 행동 계획은 지정학적 기조를 바탕으로 추진되며, 미국 국립표준기술연구소(NIST)가 NIST 위험 관리 프레임워크에서 기후 변화, 다양성·형평성·포용성(DEI), 허위 정보 등의 주제를 제외하도록 압박하고 있습니다. 오픈 소스(실제로는 오픈 웨이트)로 홍보되며 글로벌 사우스에서 쉽게 이용할 수 있는 중국의 공식 AI 스택은 사회주의 원칙을 충실히 따르도록 설계되어 있습니다.

저는 이러한 AI 모델과 이를 기반으로 발전시키고 있는 스택에 내재된 이념적 요소가 양쪽 모두의 도입을 저해할 수 있다고 봅니다. 예를 들어 미국의 AI 모델이 기후 변화에 관한 데이터를 반영하지 않는다면, 보험업계의 보험계리사들이 재산·상해 위험을 평가하고 예측하는 데 이 모델을 신뢰하려 할까요? 중국의 AI 모델을 활용해 금융시장 분석을 수행할 때 사회주의 원칙을 고수하는 것이 어떤 가치를 제공할까요? 많은 글로벌 조직이 이념적 순수성에 치우친 AI 모델을 피하려 할 것이라고 생각합니다.

미국과 중국 간 AI 이념 경쟁에서 반사이익을 얻을 잠재적 복병으로 EU를 주목할 필요가 있습니다. EU가 반드시 세계 최고의 AI 혁신 주체인 것은 아니지만, 유럽의 기술 기업들은 뛰어난 성과를 내고 있으며 프랑스에는 세계 최고 수준의 수학자들이 있습니다. EU의 AI 접근 방식은 이념적 편향을 피하고, 대신 위험 관리와 위험 수용, 그리고 무책임하다고 판단되는 방식으로 AI를 도입하는 기업에 대한 강력한 처벌에 초점을 맞추고 있습니다. 그러니 아직 EU를 무시해서는 안 됩니다.

핵심 요점: 기술 리더는 어떤 AI 모델과 기술 스택을 도입할지 매우 신중하게 숙고해야 합니다. 이러한 초기 결정은 장기적인 영향을 미치고 높은 전환 비용을 초래할 수 있기 때문입니다. 그럼에도 불구하고 전반적으로 개방형 모델 도입을 지속적으로 추진할 것으로 예상됩니다.

사기가 급증할 것으로 예상

OpenAI의 CEO 샘 올트먼은 최근 무대에서 AI 시스템을 악용한 사기가 급격히 증가하고 있다고 말했습니다. 이는 F5에서 겪은 경험과도 일치합니다. 저희는 대부분의 자동화된 튜링 테스트와 CAPTCHA 문제가 이미 오래전부터 무용지물이었으며, 특히 고도화된 봇을 상대로는 효과가 거의 없다고 밝혀 왔습니다. 하지만 방어 담당자들은 ChatGPT 에이전트가 CAPTCHA 제한을 너무나 손쉽게 우회할 수 있다는 사실에 허를 찔린 것 같습니다.

또한 음성 사기도 빈번하게 발생하고 있습니다. 이제 AI 에이전트는 현지 억양을 매우 그럴듯하게 구사해 마치 이웃에 사는 사람처럼 들립니다. 음성 메시지 및 SMS 피싱, 소셜 엔지니어링, 딥페이크, 그리고 사람의 방심을 노리는 갈수록 정교해지는 스팸 이메일 등에 AI가 활용되면서 사기 발생 건수가 약 2,400% 증가했습니다.

각오를 단단히 해야 합니다. 앞으로 AI를 악용한 사기가 훨씬 더 많이 발생할 것이기 때문입니다. 돈이 몰리는 곳이 바로 그곳이고, 범죄자들도 그쪽으로 향하고 있습니다.

핵심 요점: AI로 인해 사기가 더욱 기승을 부리고 있으며, CAPTCHA와 같은 기존 방어 수단은 더 이상 효과가 없습니다. CISO는 음성, 문자, 소셜 미디어 채널 전반에서 갈수록 더 그럴듯해지는 AI 기반 사기에 대응하기 위해 직원 교육과 적응형 AI 기반 보안 전략을 최우선으로 추진해야 합니다.

직무 설명에 ‘추론 보안’을 추가하세요

CISO는 이미 많은 책임을 맡고 있습니다. 데이터, 이메일, 애플리케이션, 경계 영역, 엣지, 네트워크 및 디바이스를 보호하고 보안을 유지할 책임이 있으며, 이제는 추론 보안까지 담당해야 합니다.

그 이유는 추론이 새로운 공격 표면으로 떠올랐기 때문입니다. 이제 추론은 비즈니스, 재무, 규정 준수, 평판에 영향을 미치는 의사 결정과 직접 연결되어 있으며, 공격자는 프롬프트 인젝션과 모델 조작을 비롯한 다양한 공격을 통해 추론 엔진을 악용할 수 있습니다. 추론은 새로운 공격 벡터인 동시에 핵심 비즈니스 기능이므로, CISO는 이제 AI를 둘러싼 인프라뿐만 아니라 AI의 의사 결정 자체도 보호해야 합니다.

추론을 조작하는 새로운 방법 중 하나는 ‘에코 챔버’ 공격입니다. 이는 허용되지 않은 생성을 직접 요청하지 않으면서, 허가되지 않은 응답을 내놓도록 점진적으로 유도하는 일련의 프롬프트를 구성하는 프롬프트 인젝션의 한 형태입니다. 여러 차례 이어지는 프롬프트에서 작은 암시를 거듭해 대규모 언어 모델(LLM)을 가스라이팅함으로써, 모델이 스스로 탈옥하거나 통제 장치를 우회하도록 유도하는 것과 비슷합니다.

이러한 에코 챔버 공격의 성공률은 약 80~90%에 달합니다. 그렇다면 이제 추론 보안을 확보하는 것이 CISO의 역할일까요? 아니라면 조직 내에서 누가 그 책임을 맡아야 할까요?

핵심 요점: 추론이 새로운 핵심 공격 표면으로 떠오르면서, CISO는 AI의 의사결정 자체를 보호하는 데까지 역할을 확대해야 합니다. 제 생각에는 직함에 ‘최고’와 ‘보안’이 들어간다면, 지금 당장 그렇게 인식되지 않더라도 결국 여러분이 해결해야 할 문제가 될 것입니다. 그러니 지금부터 시작하는 편이 낫습니다.

중국이 AI 분야에서 우위를 점하고 있는가?

실제로 중국이 AI 분야에서 우위를 점하고 있을 수도 있다고 생각합니다. 물론 무엇을 기준으로 평가하느냐에 따라 달라지겠지만요. 저는 아시아에서 많은 시간을 보내며 현지에서 생활하고 일하는 많은 사람과 이야기를 나눴습니다. 제가 보기에는 AI를 실질적으로 의미 있게 활용하는 면에서 중국이 일찌감치 앞서 나가고 있습니다. 중국이 역대 최대 규모의 모델을 보유하고 있지는 않을지 몰라도, 중국의 모델들은 실제로 활용되면서 공급망 문제를 해결하고 배송 경로를 변경하는 등 현실 세계에서 유용한 기능을 수행하고 있습니다.

200경 개의 매개변수를 갖춘 최고의 모델을 만드는 것이 목표라면, 그렇게 해도 괜찮다고 생각합니다. 하지만 지금 미국과 유럽에서는 그 모든 성능을 구축하는 것과 이를 실제로 활용하는 것 사이에 상당한 격차가 있다고 봅니다. 드래그 레이싱에 비유하자면, 엄청난 출력을 만들어 내는 것과 그 출력을 실제로 노면에 전달하는 것 사이의 격차입니다.

미국의 AI 행동 계획은 에너지 개발과 AI 팩토리 및 AI 데이터 센터 건설을 최우선 과제로 삼고 있습니다. 이 분야의 투자자들은 앞다퉈 막대한 자금을 쏟아붓고 있지만, 정작 현실에서 체감할 수 있는 가치는 창출하지 못하고 있는 듯합니다. 현 AI 도입 단계에서 비즈니스 가치를 창출하는 AI 프로그램이 얼마나 적은지를 다룬 최근의 화제성 연구들을 언급하면, 신기술 도입 과정의 ‘환멸의 골짜기’ 단계로 자연스럽게 이야기를 이어갈 수 있습니다.

여기서 문제의 일부는 미국이 가장 크고 강력한 AI 모델을 보유하고 있다고 해서 이를 의미 있는 비즈니스 성과를 창출하는 데 활용하고 있다는 뜻은 아니며, AI 분야에는 경쟁 우위를 지켜 줄 진입 장벽도 거의 없다는 점입니다. 가장 큰 모델을 보유함으로써 얻는 경쟁 우위는 한시적일 뿐이며 영원히 지속되지는 않습니다.

핵심 요점: 중국은 가장 큰 모델을 구축해서가 아니라 이를 현실의 문제에 빠르게 적용함으로써 AI 전반에서 우위를 점할 수 있습니다. 반면 미국과 유럽은 실질적인 영향보다 규모에 더 집중하다가 뒤처질 위험이 있습니다. 또한 중국은 미국보다 훨씬 많은 전력 공급 여력을 갖추고 있으며, 이는 미국이 단기간에 해결할 수 있는 문제가 아닙니다. 결국 “시추하고, 또 시추하는” 수밖에 없습니다. 우리 모두 이것이 지속 가능하지 않다는 것을 알지만, 이것이 바로 글로벌 경쟁 구도의 ‘논리’입니다.