"AI 에이전트 행동, 단계별로 검증해야" 정부, 제로트러스트 안내서 마련
AI 도구 호출·작업 위임 등 단계별 검증 기준 제시
[파이낸셜뉴스] 인공지능(AI)이 스스로 판단하고 업무를 수행하는 '에이전틱 AI' 확산에 대응해 정부가 새로운 보안 지침을 마련했다. 도구 호출과 작업 위임 등 AI 에이전트의 자율적인 행동을 단계별로 검증하고 위험 수준에 따라 인간의 승인을 받도록 하는 것이 핵심이다.
과학기술정보통신부와 한국인터넷진흥원(KISA)은 산·학·연 전문가 의견수렴 등을 거쳐 '에이전틱 AI 제로트러스트 안내서'를 마련했다고 6일 밝혔다.
에이전틱 AI는 단순한 정보 분석과 생성을 넘어 스스로 판단하고 외부 도구를 활용해 업무를 수행하는 기술이다. 기업의 AI 활용이 확대되면서 기존 사용자와 단말, 서버뿐 아니라 AI 에이전트가 접근하는 외부 서비스와 물리적 장치까지 보안 통제 대상이 넓어지고 있다.
특히 AI 에이전트는 높은 접근 권한을 바탕으로 자율적으로 업무를 수행하는 만큼 프롬프트 오염이나 위임받은 권한을 벗어난 행동 등 새로운 보안위협에 노출될 수 있다. 이에 정부는 모든 접근을 지속적으로 검증하는 '제로트러스트' 보안 원칙을 에이전틱 AI 환경에 적용할 수 있도록 구체적인 기준을 마련했다. 제로트러스트는 네트워크가 이미 침해됐을 가능성을 전제로 내부와 외부를 구분하지 않고 모든 접근 요청을 지속적으로 검증하는 보안 개념이다.
이번 안내서는 2024년 12월 발표된 '제로트러스트 가이드라인 2.0'을 기반으로 기존 4단계 보안 성숙도 모델을 에이전틱 AI 환경에 맞게 확장한 것이 특징이다.
정부는 AI 에이전트의 △입력 처리 △도구 호출 △작업 위임 △외부 통신 등 주요 행동 단계마다 검증과 보안 정책을 적용하도록 했다. 위험 수준에 따라 사람의 승인을 거치거나 사전에 승인된 정책에 따라 행동을 통제하는 방식도 제시했다.
또 기업이 자체적으로 보안 수준을 진단하고 개선 과제를 설정할 수 있도록 성숙도 단계별 실무 기준도 담았다. 제로트러스트 도입 시 고려사항과 단계별 운영 절차, 실제 적용 사례 등을 함께 제시해 기업이 도입부터 운영·개선까지 활용할 수 있도록 했다. 안내서 전문은 KISA 홈페이지에서 확인할 수 있다.
임정규 과기정통부 정보보호네트워크정책관은 "정부는 제로트러스트 보안 모델 구축 사업을 수행함과 동시에, 제로트러스트 적용 가이드 등을 지속적으로 발간함으로써 제로트러스트의 민간 자율 확산 기반을 마련해 나가겠다"고 말했다.
[email protected] 최혜림 기자
