중단 없이 안전한 AI 혁신

2025년 AI 보안 및 거버넌스 현황 보고서에 따르면 기업이 가장 많이 언급한 위험은 민감한 정보 노출(52%)과 규정 준수(50%)였습니다. 새롭게 등장하는 위협으로는 섀도 AI, 프롬프트 인젝션, 모델 도난 등이 있습니다. 포괄적인 방어를 위해서는 데이터, 모델, 사용자 상호작용 계층을 동시에 보호해야 합니다.

섀도 AI는 직원이 허가되지 않은 모델이나 데이터 세트를 사용하여 IT 거버넌스를 우회할 때 발생합니다. 이를 탐지하려면 자동화된 검색 도구가 필요합니다. Google Cloud의 Security Command Center는 승인되지 않은 '섀도' 모델을 포함한 모든 AI 애셋의 실시간 인벤토리를 제공하여 보안팀이 승인되지 않은 모델에 일관된 보안 정책을 적용하는 데 필요한 가시성을 확보하고 비즈니스 워크플로를 중단하지 않고도 위험을 줄일 수 있도록 지원합니다.

기술 격차는 흔한 장애물이지만(조직의 53%가 언급), 모든 것을 처음부터 빌드할 필요는 없습니다. Google Cloud는 AI 보안을 기존 플랫폼에 직접 임베딩합니다. Security Command Center와 같은 도구는 AI를 사용하여 위협을 요약하고 수정사항을 추천하므로 기존 보안팀이 데이터 과학 전문가가 아니더라도 AI 위험을 관리할 수 있습니다.

에이전트 AI를 보호하려면 자율 에이전트를 가치 높은 ID로 취급해야 합니다. 표준 사용자와 달리 에이전트에는 '최소 권한'을 적용하는 엄격한 Identity and Access Management(IAM) 정책이 필요합니다. Google Cloud는 에이전트 상호작용 경로를 매핑하고 특정 에이전트 ID를 할당하여 에이전트가 특정 작업에 필요한 데이터에만 액세스할 수 있도록 보장합니다.

예. Google Cloud는 멀티 모델 보안 전략을 지원합니다. Vertex AI에서 Gemini와 같은 퍼스트 파티 모델을 사용하든 서드 파티 오픈소스 모델을 사용하든 Model Armor를 사용하여 통합 런타임 보호 장치를 적용할 수 있습니다. 이렇게 하면 기본 모델 제공업체와 관계없이 프롬프트 인젝션과 데이터 유출로부터 스택을 보호할 수 있습니다.

Model Armor는 프롬프트 인젝션과 민감한 정보 유출이 모델에 도달하기 전에 필터링하는 전용 보안 계층을 제공하므로 커스텀 코딩된 인터셉터가 필요하지 않습니다. 모델 탈옥 시도와 같은 악성 프롬프트를 탐지하고 차단하며, 안전하지 않은 콘텐츠가 애플리케이션에 도달하기 전에 필터링하여 데이터와 브랜드 평판을 모두 보호합니다.

데이터 유출을 방지하려면 '심층 방어' 접근방식이 필요합니다. Google Cloud는 데이터 처리(사용) 중에 암호화하는 컨피덴셜 컴퓨팅과 함께 사용자에게 표시되기 전에 모델 응답에서 개인 식별 정보와 같은 민감한 정보를 자동으로 스캔하고 수정할 수 있는 Data Loss Prevention(DLP) 제어 기능을 제공합니다.

규제 대상 업종의 경우 데이터 주권은 민감한 정보를 특정 물리적 및 디지털 경계 내에 유지하는 것을 의미합니다. Google Sovereign Cloud를 사용하면 데이터 상주 및 암호화 키(External Key Manager 사용)를 완전히 제어하면서 AI를 도입할 수 있으므로 GDPR 또는 현지 데이터 법률과 같은 지역별 규정을 준수할 수 있습니다.

안전한 AI 프레임워크(SAIF)는 조직이 AI 개발 수명 주기에 보안을 통합할 수 있도록 설계된 책임감 있는 AI 도입을 위한 Google의 청사진입니다. 업계 표준에 부합하여 위험을 평가하고, 제어를 자동화하며, AI 혁신만큼 빠르게 확장되는 보안 문화를 구축하는 데 도움이 됩니다.

보안은 방화벽, 암호화와 같은 기술적 방어에 중점을 두는 반면, 거버넌스는 정책, 책임, 위험 관리에 중점을 둡니다. AI 혁신 중단 없이 진행하기 가이드에서 강조한 것처럼 AI를 성공적으로 도입하려면 제어를 적용할 수 있는 강력한 보안 도구와 AI 결정 및 데이터 사용에 대한 책임을 누가 지는지 정의하는 거버넌스 프레임워크가 모두 필요합니다.