엔터프라이즈 AI가 새로운 국면으로 접어들고 있습니다. 선도적인 모델 간의 성능 격차는 줄어들고 있지만, 보안 격차는 그렇지 않습니다. 최신 F5 Labs Comprehensive AI Security Index (CASI) 데이터에 따르면 역량과 적대적 공격에 대한 복원력 간의 격차가 점점 벌어지고 있습니다. 한편 F5 에이전틱 저항 점수(ARS) 결과는 모델을 여러 단계로 이루어진 에이전틱 시나리오에서 장기간 테스트할 경우 복원력이 다시 달라질 수 있음을 보여줍니다.
CISO에게 이는 모델 선택의 본질이 달라진다는 의미입니다. 이제 중요한 것은 단순히 어떤 모델의 성능이 가장 뛰어난지가 아니라, 해당 모델의 보안 특성이 수행할 역할과 부여받을 권한, 그리고 조작에 성공했을 때 발생할 결과에 적합한지 여부입니다.
특정 배포 환경에 어떤 모델이 적합한지를 단 하나의 보안 벤치마크만으로 판단할 수는 없습니다. 9월 F5 CASI 및 F5 ARS 결과는 이를 분명히 보여줍니다. 두 순위표 모두에서 상위 10위 안에 든 모델은 단 3개뿐입니다. CISO는 모델 승인에 활용되는 보안 근거가 해당 모델의 실제 운영 방식을 반영하는지 확인해야 합니다. 여기에는 모델의 자율성 수준, 데이터 및 도구에 대한 접근 권한, 그리고 모델이 침해될 경우 발생할 수 있는 비즈니스 영향이 포함됩니다.
“F5의 최신 조사 결과는 조직이 AI 모델을 배포하기 전에 어떤 보안 속성이 실제로 측정되었고 어떤 속성이 측정되지 않았는지, 그리고 잔존 위험에 대비해 주변 통제가 충분한지를 파악해야 한다는 점을 분명히 보여줍니다.”
이는 저희가 연중 지속적으로 추적해 온 일련의 연구 결과를 바탕으로 합니다. 이전 F5 블로그 게시물에서는 모델을 승인하기에 앞서 모델 선정 및 조달 과정에 측정 가능한 보안 근거를 반영해야 하는 이유를 살펴보았습니다. 또 다른 블로그 게시물에서는 모델 장애가 초래하는 결과가 해당 모델이 접근하고 수행할 수 있도록 주변 시스템이 허용하는 범위에 크게 좌우되는 이유를 보여주는 F5 Labs 연구를 살펴보았습니다.
8월과 9월에 발표한 최신 위협 연구와 리더보드는 이러한 관점을 종합적으로 보여줍니다. CISO에게는 모델 자체에 대한 근거뿐만 아니라 해당 모델이 운영될 환경에 대한 근거도 필요합니다.
9월 데이터에서 나타난 한 가지 패턴은 특히 시사하는 바가 큽니다. F5 CASI 상위 5개 자리는 모두 Anthropic이 차지한 반면, F5 ARS 상위 10개에는 OpenAI 모델 5개, Anthropic 모델 4개, MiniMax 모델 1개가 포함되었습니다. 이러한 순위를 종합해 보면, 공급업체의 평판이나 모델 계열, 성능만으로는 배포 환경에 필요한 특정 유형의 복원력을 신뢰성 있게 가늠할 수 없는 이유를 알 수 있습니다. 따라서 CISO는 처음부터 모델 수준의 보안 근거를 바탕으로 배포 결정을 내려야 합니다.
성능은 보안의 척도가 아닙니다
최근 F5 Labs 결과에 따르면 모델의 성능과 공격을 얼마나 잘 견뎌내는지 사이에는 지속적인 격차가 있습니다. 8월에 GLM-5.2는 31개 모델 중 성능 부문에서 4위를 차지했지만 F5 CASI에서는 24위에 그쳤으며, DeepSeek V4 Flash는 성능 부문에서 6위, F5 CASI에서는 28위를 기록했습니다. Grok 4.5에서도 폐쇄형 모델 측에서 동일한 격차가 나타났습니다. 이러한 양상은 제공업체나 라이선스가 아니라 개별 모델에 따라 달라졌습니다.
보안 평가 결과 역시 그만큼 큰 차이를 보일 수 있습니다. Qwen3.5 모델 3종은 F5 ARS에서 각각 91.04점, 89.81점, 88.23점을 기록했지만, 이에 대응하는 F5 CASI 점수는 각각 58점, 31점, 53점이었습니다(두 리더보드 모두 만점은 100점). 여기서 얻을 수 있는 결론은 어느 한 지표가 다른 지표보다 더 권위 있다는 것이 아닙니다. 두 지표는 서로 다른 형태의 공격에서 드러나는 각기 다른 취약점을 보여줍니다.
이는 승인 프로세스에서 모델 벤치마크를 활용하는 방식에 변화를 가져옵니다. 성능은 후보군을 좁히는 데 도움이 될 수 있지만, 배포에 필요한 보안 타당성을 입증할 수는 없습니다. 단일 보안 지표에서 우수한 결과를 얻었더라도 맥락에 맞게 해석해야 합니다. 근거에는 모델이 수행할 역할, 모델에 부여될 자율성, 그리고 모델이 접근할 수 있는 시스템이 반영되어야 합니다.
2026년 7월 보고서에서 Gartner는 비교 보안의 역할이 점차 커지고 있음을 살펴보았습니다. 최근 데이터는 그 근거를 더욱 분명히 보여줍니다. 모델을 선택할 때는 모델이 무엇을 할 수 있는지뿐만 아니라 어느 지점부터 복원력이 무너지기 시작하는지도 고려해야 합니다.
모델이 신뢰하도록 허용된 대상을 측정하세요
8월 연구에서 나온 보다 중요한 결과 중 하나는 기업이 적극적으로 원하는 역량, 즉 주어진 정책과 규칙 내에서 작업할 수 있는 능력에 관한 것입니다.
“도덕적 딜레마,”는 F5 Labs가 분석한 공격으로, 이러한 행동을 악용합니다. 공격자는 악의적인 지시를 위장하는 대신 오해를 유도하는 규칙을 제시하고 모델이 이를 바탕으로 추론하도록 요구합니다. 평균 공격 성공률은 Llama 3.1 8B를 상대로 44.8%에서 Gemini 2.5 Pro를 상대로 91.1%까지 나타났으며, F5 Labs는 프롬프트 수준의 가드레일 모델도 이 기법을 제대로 방어하지 못했다고 지적했습니다.
보안상의 핵심은 모델이 지시를 따르면서도 어떤 지시를 권위 있는 것으로 간주할 자격이 있는지 구분할 수 있느냐는 것입니다. 검색된 문서는 정보 출처로는 신뢰할 수 있지만 정책으로까지 신뢰할 수 있는 것은 아닙니다. 도구의 응답은 데이터를 제공할 수는 있어도 에이전트가 그 데이터로 무엇을 할 수 있는지 재정의할 권한은 없습니다.
배포 전에 모델을 검토하는 CISO를 위해, 팀은 외부 컨텍스트의 출처와 모델의 동작에 영향을 미치도록 허용된 소스가 무엇인지 파악해야 합니다.
프롬프트는 보안 경계가 아닙니다
동일한 연구는 모델 거버넌스의 영역이 끝나고 보안 아키텍처의 영역이 시작되는 지점을 보여줍니다. F5 Labs는 에이전트가 의도된 평가 환경을 벗어난 세 가지 사례를 조사했습니다. 그중 한 사례에서는 패키지 레지스트리 프록시 외에는 인터넷에 액세스할 수 없어야 했던 에이전트가 해당 프록시에서 제로데이 취약점을 발견하고, 인터넷에 연결된 노드에 접근한 뒤, 외부 샌드박스에서 루트 권한으로 명령을 실행했습니다. 다른 사례로는 모델에 인터넷에 액세스할 수 없는 환경에서 작동 중이라고 알려졌음에도 실제 연결이 계속 유지된 경우와 네트워크 구성 오류로 인해 샌드박스를 탈출한 경우가 있었습니다.
공통적인 문제는 단순히 에이전트가 지시를 무시했다는 데 있지 않았습니다. 경계 자체가 당연한 것으로 간주되거나 말로만 규정되었거나 잘못 구현되어 있었습니다. 실무적 시사점은 분명합니다. 에이전트에 허용할 작업을 정하는 것은 해당 환경에서도 동일한 제한을 강제할 때에만 의미가 있습니다.
ID 데이터는 이 점을 더욱 뒷받침합니다. GitGuardian은 공개 GitHub 커밋에서 4,576개의 고유한 n8n API 토큰을 발견했으며, 접근 가능한 인스턴스 896개 중 321개가 노출된 토큰을 하나 이상 허용했습니다. 소프트웨어 취약점은 전혀 필요하지 않았습니다. 이러한 워크플로는 소스 제어, 클라우드 서비스, 데이터베이스 및 SaaS 애플리케이션에 연결될 수 있으므로, 노출의 영향은 워크플로 자체를 훨씬 넘어설 수 있습니다.
따라서 중요한 것은 에이전트가 조작될 수 있는지 여부뿐만 아니라, 실제로 조작될 경우 무엇이 가능해지는지입니다. 네트워크 접근 권한, 도구, 자격 증명 및 다운스트림 시스템이 피해 범위를 결정합니다. 이러한 통제 수단은 모델에 허용되거나 금지된 작업으로 무엇이 지시되었는지와 관계없이 독립적으로 마련되어야 합니다.
오픈 웨이트는 책임의 주체를 바꾼다
F5 Labs 보고서인 「중국 오픈 웨이트 AI 모델: 사이버 보안 위험과 이점」은 모델 선택 시 고려해야 할 또 다른 사항을 제시합니다. 즉, ‘오픈 웨이트’라는 특성 자체가 보안 등급을 의미하지는 않습니다.
7월에 Qwen3.5-397B-A17B는 F5 CASI에서 81.13점, Xiaomi MiMo-V2.5는 73.80점, GLM-5.2는 46.58점을 기록했습니다. 이러한 점수 차이는 해당 범주에 대한 일반적인 결론보다 더 유용한 정보를 제공합니다. 이는 모델 계열, 제공업체, 라이선스 모델만으로는 도입을 고려 중인 정확한 모델을 직접 테스트하는 것을 제대로 대체할 수 없는 이유를 보여줍니다.
오픈 웨이트 배포로 달라지는 것은 책임의 주체입니다. 데이터 위치, 인프라 및 맞춤화에 대한 통제력이 커지는 만큼 출처, 패치 적용, 로깅 및 모델 아티팩트 무결성에 대한 책임도 커집니다. F5 Labs는 출처 확인, 신뢰할 수 있는 버전 고정, 배포 전 아티팩트 검사 등을 통해 모델 아티팩트를 소프트웨어 공급망의 입력 요소로 취급할 것을 권장합니다.
따라서 중요한 것은 개방형과 폐쇄형 중 어느 쪽이 본질적으로 더 안전한지가 아니라, 조직이 어떤 위험을 감당할 역량을 갖추고 있는지입니다.
배포 전에 CISO가 측정해야 할 사항
최근 연구 결과는 모델 보안을 단일 승인 관문으로 취급해서는 안 된다는 점을 시사합니다. 배포 전 검토가 실효성을 가지려면 다음과 같은 여러 질문에 답할 수 있어야 합니다:
- 역량 및 적대적 공격에 대한 복원력: 모델이 해당 작업을 수행할 수 있으며, 그 작업과 관련된 공격을 받을 때 어떻게 작동하는가?
- 프롬프트 수준 및 에이전트형 복원력: 해당 근거가 특히 도구, 자격 증명 또는 자율적 작업이 수반되는 상황에서 모델이 실제로 작동하는 방식을 반영하고 있는가?
- 지시 권한: 어떤 시스템이 컨텍스트를 제공할 수 있으며, 그중 어떤 시스템이 정책이나 동작에 영향을 미칠 수 있나요?
- 강제 적용되는 경계: 프롬프트의 지시와 관계없이 기술적으로 모델이 접근할 수 없는 영역은 무엇인가요?
- ID 및 출처: 어떤 자격 증명, 모델 버전 및 아티팩트를 신뢰하며, 이를 어떻게 관리하고 있나요?
- 재평가: 모델 업데이트, 새로운 도구, 권한 변경 또는 새로운 공격 기법을 포함해 어떤 변경 사항이 기존 승인을 무효화할 수 있나요?
이러한 질문에 답함으로써 CISO는 서로 다른 여러 위험 관련 의사결정을 모델이 ‘안전한지’ 여부에 관한 하나의 질문으로 단순화하는 오류를 피할 수 있습니다.
F5 Labs의 AI 복원력 측정 방법
F5 CASI와 F5 ARS는 인증이 아니라 근거 자료로 이해하는 것이 가장 적절합니다. F5 CASI는 일반적인 프롬프트 인젝션 및 탈옥 공격에 대한 취약성을 측정하고, F5 ARS는 다단계 및 자율 에이전트 시나리오에서의 복원력을 평가합니다. 2026년 9월 리더보드는 두 지표에 대한 최신 비교 결과를 제공합니다.
점수는 검토 중인 배포 환경과 연계해 해석할 때 가장 유용합니다. 점수만으로는 에이전트에 과도한 권한이 부여되었는지, 샌드박스가 올바르게 구성되었는지, 또는 외부 소스가 모델이 신뢰해서는 안 되는 지시를 유입시킬 수 있는지 판단할 수 없습니다. 다만 정의된 적대적 조건에서 해당 모델이 어떻게 동작했는지에 관한 구체적인 정보를 보안 팀에 제공할 수 있습니다.
이것이 이 연구 시리즈를 관통하는 핵심 주제입니다. 또한 F5의 최신 연구 결과는 조직이 AI 모델을 배포하기 전에 어떤 보안 속성이 실제로 측정되었고 어떤 속성이 측정되지 않았는지, 그리고 주변 통제 수단이 잔존 위험에 대응하기에 충분한지를 파악해야 한다는 점을 분명히 보여줍니다.
자세히 알아보기:
- 최신 F5 CASI 및 F5 ARS AI 보안 리더보드에서 모델의 복원력을 비교하고 시간 경과에 따른 변화를 추적해 보세요.
- 엔터프라이즈 AI 모델, 애플리케이션 및 에이전트 전반의 보안을 위한 F5 AI Security Platform을 살펴보세요.
작성자 소개
Malcolm Heath는 F5 Labs의 수석 위협 연구원입니다. 그는 대기업과 소기업을 아우르는 여러 회사에서 인시던트 대응, 프로그램 관리, 침투 테스트, 코드 감사, 취약점 연구 및 익스플로잇 개발 업무를 수행해 왔습니다. F5 Labs에 합류하기 전에는 F5 SIRT에서 선임 보안 엔지니어로 근무했습니다.
Malcolm Heath의 다른 블로그 게시물
Louise Scully는 F5에서 AI 보안 및 위협 인텔리전스 제품 마케팅을 담당하는 시니어 매니저입니다. AI 보안 및 엔터프라이즈 기술 분야에서 제품 마케팅, 제품 관리, 시장 진출 전략, 커뮤니케이션, 사고 리더십, 카테고리 개발 등 폭넓은 경력을 쌓았습니다. F5에 합류하기 전에는 CalypsoAI와 Artomatix에서 마케팅을 총괄하며 AI 기술과 연구 성과의 시장 출시를 이끌었습니다.
Louise Scully의 다른 블로그 게시물관련 블로그 게시물
추론 경로가 곧 트래픽 경로다: AI 보안이 자리해야 할 곳
이제 AI 트래픽에는 의도와 데이터, 작업이 담깁니다. AI 보안을 적용하는 데 추론 경로가 가장 중요한 지점이 된 이유를 알아보세요.
최전선 AI를 네트워크 경계에서 차단하기: 인라인 제어가 Mythos급 모델에 맞서는 핵심 우위인 이유
포스트-Mythos 시대에 사이버 방어가 어떻게 변화했으며, 조직이 통제 지점을 바꿔야 하는 이유를 알아봅니다.
애플리케이션 딜리버리 컨트롤러가 다시 전략적 의제로 떠오르고 있습니다
AI로 인해 애플리케이션 제공의 중요성이 더욱 커지고 있습니다. F5의 Nirav Shah가 새로운 Gartner® ADC 연구와 이것이 엔터프라이즈 인프라 의사 결정에 미치는 영향에 대해 설명합니다.
증거로 입증하는 AI 보안: Gartner SRM에서 선보일 내용
Gartner SRM에서의 세션을 앞두고, F5의 제품 마케팅 담당 수석 부사장이 F5가 세 가지 실질적인 단계를 통해 조직의 AI 보안을 어떻게 지원하는지 설명합니다.
파이프라인 속도 저하 없이 AI 데이터 파이프라인을 안전하게 보호하세요
AI 데이터 파이프라인 보안은 선택 사항이 아닙니다. 그 점은 분명합니다. 하지만 이를 제대로 보호하는 방법은 훨씬 불분명하며, 훨씬 더 어려운 과제입니다.
AI 스토리지에 새로운 로드 밸런싱 접근 방식이 필요한 이유
AI 워크로드에는 새로운 관점으로 설계된 스토리지가 필요합니다. AI 특유의 데이터 액세스 패턴은 레거시 인프라에 내재된 심각한 병목 현상과 비효율성을 여실히 드러냅니다.