인공지능(AI) 경쟁은 이제 대형 언어모델(LLM)의 성능 경쟁을 넘어 AI 데이터센터와 반도체, 전력망 등 인프라 확보 경쟁으로 확산하고 있다. 글로벌 빅테크의 대규모 투자가 전력과 에너지 인프라로 이어지면서 산업 구조와 자본의 흐름, 기업의 투자 전략도 빠르게 재편되고 있다. 딜사이트는 ‘2026 경영전략 써밋’을 통해 AI 인프라 확장이 산업과 자본시장에 가져올 변화와 기회를 심층 분석했다. AI 전력 슈퍼사이클 시대, 국내외 기업들이 새로운 성장 기회를 선점하기 위해 어떤 전략을 준비하는지 살펴본다. [편집자주]

[딜사이트 최령 기자] “자동차 엔진은 인공지능(AI)으로 바꿨는데 브레이크와 에어백은 아직도 옛날 기술을 사용하고 있습니다. AI 도입과 보안투자를 분리하지 말고 함께 봐야합니다."(이원태 국가AI전략위원회 보안특별위원장 겸 국민대 특임교수)

최근AI가 사이버 공격의 속도와 규모를 바꾸면서 보안 대응체계에도 변화가 요구되고 있지만 여전히 보안에 대한 관심은 제자리다. 공격자는 취약점 탐색과 침투를 자동화하지만 방어하는 기업과 기관은 여전히 보고와 회의, 예산 확보에만 시간을 쓰고 있는 실정이다. 공격을 차단하는 동시에 사고 이후 핵심 업무를 유지하고 빠르게 복구하는 역량이 필요하다는 목소리가 커지고 있다.

이원태 위원장은 딜사이트와의 인터뷰에서 “AI 기반의 기계의 시간과 사람이 만든 조직의 시간이 서로 맞지 않는다”며 “사람의 속도로 움직이는 보안체계를 AI의 속도에 맞게 바꾸는 것이 가장 시급한 과제”라고 강조했다.

이 위원장은 피싱과 계정 탈취, 취약점 악용 등 전통적인 공격 수법은 여전히 이어지고 있지만 달라진 것은 공격의 속도와 규모라고 설명했다. AI로 공격이 자동화되면서 사람이 만든 제도와 대응체계가 감당하기 어려워졌다는 것이다.

그는 “취약점을 몇 개 발견했느냐가 중요한 게 아니다”라며 “취약점을 발견해서 실제 조치가 이뤄지는 시간을 중심으로 보안 대응체계가 바뀌어야 한다”고 말했다.

위험도별 패치 기한을 정하는 ‘패치 SLA(Patch Service Level Agreement)’도 제안했다. 예컨대 심각한 취약점은 24시간, 높은 위험은 72시간 이내에 처리하도록 기준을 두는 방식이다. 취약점 공개·신고체계와 버그바운티 활성화도 과제로 꼽았다.

공공과 민간의 AI 활용에 대해서는 도입 속도에 비해 보안 준비가 부족하다고 진단했다. AI 에이전트라는 ‘디지털 직원’에게 어떤 데이터에 접근하게 할지, 어디까지 업무를 맡길지, 사고가 나면 어떻게 멈출지를 정하기 전에 일을 맡기고 있다는 지적이다.

그는 “자동차 엔진은 AI로 바꿨는데 브레이크와 에어백은 옛날 것인 셈”이라며 “AI 도입과 보안투자를 분리하지 말고 함께 봐야 한다”고 말했다. 기획과 개발, 도입 단계부터 보안과 사고 이후의 회복을 함께 설계해야 한다는 설명이다.

다만 활용 자체를 막는 것은 해법이 아니라고 봤다. 서면 답변에서는 지나친 금지가 조직 모르게 AI를 사용하는 ‘섀도 AI’를 확산시킬 수 있다며 승인된 서비스와 데이터 입력 기준을 제공해야 한다고 밝혔다. 최소권한과 로그 기록, 중요 행위 승인절차, 비상정지 기능도 제시했다.

방어 자동화에도 사람의 개입 기준이 필요하다고 강조했다. 제한된 인력이 AI의 모든 행동을 확인하기는 어렵지만, 모든 결정을 맡기면 의도와 다른 결과가 나올 수 있다는 것이다. 그는 “쉽게 처리할 수 있는 일은 자동화하되 어려운 결정에는 사람이 개입해야 한다”며 “가장 중요한 비상 결정의 최종 책임은 사람에게 있어야 한다”고 말했다.

사고 책임을 둘러싼 혼선을 줄이기 위해서는 ‘AI 책임지도’를 제안했다. 개발사와 도입기관 등 여러 주체가 얽힌 만큼 모델 업데이트와 데이터 관리, 취약점 대응, 사고 통지 등의 책임을 계약과 운영규정에 미리 나누자는 것이다.

그는 “누구 책임인지 서로 떠넘기며 싸우면 궁극적인 피해는 소비자에게 돌아간다”며 “누가 통제하고 모니터링할지, 문제가 발생하면 누가 서비스를 중지하고 신고·복구할지를 도입 단계에서 명확히 해야 한다”고 강조했다.

보안투자는 예방과 탐지를 넘어 격리와 백업, 재해복구, 업무연속성 확보로 확대해야 한다고 봤다. AI 활용으로 외부 시스템과의 연결이 늘면서 모든 공격을 완벽하게 차단한다는 전제만으로는 한계가 있다는 설명이다.

이 위원장은 “100% 공격을 막는다는 전제에서 출발해서는 안 되는 세상이 됐다”며 “뚫려도 핵심 기능을 유지하면서 빠르게 회복할 수 있는 조직을 만드는 역량에 투자해야 한다”고 말했다.

서류상 기준 준수와 실제 보안 역량의 간극도 줄여야 한다고 지적했다. 인증을 갖췄더라도 실제 공격에 견디고 복구할 수 있는지는 별도로 검증해야 한다는 것이다. 그는 "평가 기준도 규정을 잘 지켰는지가 아니라 실제 공격을 버티고 회복하는 능력 중심으로 바뀌어야 한다”고 했다.

인력과 예산이 부족한 중소기업과 지방 공공기관에는 보안역량을 공유하는 체계가 필요하다고 봤다. 국가와 전문기관이 보안관제와 취약점 진단, 레드티밍 등을 공동서비스로 제공하는 방식이다. 그는 “모든 중소기업에 AI 보안 전문가를 채용하라고 할 수는 없다”며 전문서비스를 쉽고 저렴하게 이용할 수 있도록 AI-SECaaS (Security as a Service) 바우처 등을 지원해야 한다고 말했다.

정책 효과 역시 제도와 문서의 숫자보다 취약점 조치시간, 사고 탐지·복구시간, 반복사고 감소 등 현장의 변화로 평가해야 한다고 짚었다. 그는 “자동화된 취약점 탐지와 조치, AI 기반 보안관제, 신속한 사고보고와 복구체계가 하나의 사이클로 연결되는 것이 중요하다”고 말했다.

국가 차원에서는 데이터 보호와 에이전트 권한관리, 사고보고 등의 공통 기준을 마련하되 세부 통제는 산업별 위험에 맞춰야 한다고 봤다. 보안특위는 이 과정에서 여러 부처에 걸친 의제를 연결하고 정책을 조율하는 역할을 해야 한다는 설명이다. 끝으로 이 위원장은 “개별 부처의 사업을 지원하는 것뿐 아니라 부처 사이의 중복과 빈틈을 조율하고 공통의 방향과 우선순위를 정해주는 역할이 중요하다”고 강조했다.

한편 이 위원장은 한국인터넷진흥원장을 역임했으며, 아주대학교 사이버보안학과 연구교수와 정보통신정책연구원(KISDI) 연구위원을 지냈다. 지난해 이재명 대통령으로부터 ‘홍조 근정훈장’을 수훈했다. 과거 하정우 AI전략위원회 부위원장과 함께 이재명 정부의 인공지능(AI) 정책 및 공약을 준비한 것으로 알려져 있다.

이 위원장은 오는 21일 서울 여의도 콘래드 호텔에서 열릴 딜사이트 '2026 경영전략 써밋'에서도 관련 내용을 주제로 대담을 진행할 예정이다.