과기정통부, 에이전틱 AI 보안 안내서 발간…"믿지 말고 계속 검증"

과학기술정보통신부와 한국인터넷진흥원(KISA)이 에이전틱 AI 도입·운영 환경에서 제로트러스트 보안 체계를 적용할 수 있는 「에이전틱 AI 제로트러스트 안내서」를 내놨다고 5일 밝혔다.

에이전틱 AI는 단순한 정보 분석·생성을 넘어 스스로 판단하고 도구를 활용해 업무를 수행하는 AI다. 클라우드 이용 확대와 AI 기반 업무 자동화가 빠르게 번지면서 기업의 통제 대상도 사용자·단말·서버를 넘어 AI 에이전트가 접근하는 외부 서비스, 물리적 장치 명령까지 넓어졌다. 정부는 기존 보안체계로는 대응하기 어려운 자율성과 높은 권한이 새로운 위협으로 이어진다고 봤다.

안내서는 프롬프트 오염이나 위임된 권한을 넘어선 자율 행동처럼 에이전틱 AI에 고유한 위협을 겨냥한다. '절대 믿지 말고, 계속 검증하라'는 제로트러스트 원칙에 따라 입력 처리, 도구 호출, 작업 위임, 외부통신 등 에이전트가 자율적으로 행동하는 지점마다 검증과 정책 집행을 배치하는 방식이다. 위험 수준에 따라서는 사람의 승인을 받거나 사전에 승인된 정책을 적용하도록 했다.

이번 문서는 2024년 12월 발간한 「제로트러스트 가이드라인 2.0」의 4단계 성숙도 모델을 에이전틱 AI 환경에 맞게 확장한 것이 골격이다. 기업이 자체 보안 수준을 진단하고 우선순위에 따라 개선할 수 있도록 단계별 실무 기준을 제시했고, 도입 고려사항과 운영 절차, 활용 예시도 함께 담았다. 기업이 도입부터 운영·개선 단계까지 참고할 수 있도록 한 것이다.

임정규 과기정통부 정보보호네트워크정책관은 "기업 업무에 AI 활용이 증가하는 상황에서 에이전틱 AI에 제로트러스트를 적용할 수 있는 안내서가 나온 것은 시의적절하다"며 "정부는 제로트러스트 보안 모델 구축 사업을 수행함과 동시에 적용 가이드를 지속적으로 발간해 민간 자율 확산 기반을 마련하겠다"고 말했다.

안내서 전문은 KISA 누리집(www.kisa.or.kr)에서 확인할 수 있다. 과기정통부는 보도자료 원문도 자체 누리집과 정책브리핑을 통해 공개했다.