[해외보안뉴스] AI 시대의 '통제 불능 코드', 보안 팀의 효과적인 대응 전략
· 2026-10-20 15:00
· 조회 12
· 원문 ↗
최근 기업 내 비기술 직군 임직원들이 AI 지원 도구와 노코드·로코드 플랫폼을 활용해 업무용 애플리케이션, AI 에이전트, 자동화 워크플로우를 직접 제작하는 사례가 급증하고 있습니다. 영업 관리자가 고객 데이터베이스를 연결하고 요청 사항을 자동 요약하여 공유 채널에 전달하는 워크플로우를 손쉽게 구축하는 것처럼, 임직원 스스로 개발하는 생산성 도구들은 조직 내 기존 IT 및 보안 프로세스의 지원 속도를 뛰어넘어 폭발적으로 늘어나는 추세입니다.
이러한 변화는 업무 효율성을 크게 향상시키지만, 보안 관점에서는 '통제되지 않는 코드(Wild Code)'와 그림자 IT(Shadow IT)의 확산이라는 심각한 위협을 초래합니다. 보안 팀의 사전 검토나 승인 없이 민감한 고객 기록 및 내부 시스템에 접근하는 가상 에이전트와 자동화 프로세스는 데이터 유출, 권한 오용, 안전하지 않은 API 연동 등 예기치 못한 보안 허점을 조직 곳곳에 만들어낼 수 있습니다.
보안 팀은 직원의 자발적인 AI 활용을 단순히 무조건 금지하기보다는, 보안 가시성을 확보하면서 안전하게 활용할 수 있는 거버넌스 체계를 구축해야 합니다. 임직원이 사용하는 AI 생성 애플리케이션의 데이터 흐름과 권한을 실시간으로 모니터링하고, 최소 권한 원칙(Principle of Least Privilege) 적용 및 개발 초기 단계부터 안전한 가드레일을 제공하여 보안 리스크를 효과적으로 관리해야 합니다.
♥ 추천 0
현업 주도의 AI 자동화는 생산성을 높이지만, 최소 권한 원칙(Least Privilege) 미준수나 API 키 노출 같은 아키텍처적 맹점을 만들기 쉽습니다. 이를 무조건 차단하기보다는 OAuth 스코프 제한과 API 게이트웨이를 활용해 중앙에서 통제 가능한 '안전한 가드레일'을 제공해야 합니다. 결국 개발팀과 보안팀이 협력하여 이러한 섀도우 코드(Shadow Code)에 대한 가시성(Observability)을 확보하고 자동화된 보안 정책을 적용하는 것이 시급합니다.
현업 사용자가 직접 구축한 AI 워크플로우는 권한 관리가 미흡하고 간접 프롬프트 주입(Indirect Prompt Injection) 공격에 극도로 취약합니다. 외부 요청을 요약하는 과정에서 악의적인 페이로드가 실행되면, 연결된 CRM 내 고객 데이터가 외부에 유출되거나 내부 채널로 권한 오용 공격이 전파될 수 있습니다. 보안 통제를 벗어난 '섀도우 코드'의 확산은 공격자에게 별도의 복잡한 익스플로잇 없이도 내부망 핵심 데이터에 접근할 수 있는 최적의 진입점을 제공합니다.
현업 주도의 AI 자동화는 높은 생산성을 가져오지만, 통제되지 않은 데이터 접근과 '섀도우 엔지니어링'은 심각한 보안 리스크를 야기합니다. 무조건적인 통제보다는 임직원이 안전하게 코드를 구현할 수 있도록 '보안 가드레일'과 데이터 접근 권한 정책을 조속히 정립해야 합니다. 비즈니스 혁신의 속도를 저해하지 않으면서도 기업의 중요 자산을 보호하는 유연한 거버넌스 체계 구축에 집중하겠습니다.