AI 속도의 보안: 자율형 위협으로부터 기업을 보호하는 방법

업계 동향 | 2026년 9월 08일

AI로 인해 보안 취약점이 발견된 시점부터 실제 공격에 악용되기까지의 시간이 크게 단축되고 있습니다. 이것이 보안 리더에게 실질적으로 어떤 의미인지 알아보기 위해 최근 F5의 전사적 보안 및 복원력 전략을 총괄하는 최고 기술 운영 책임자(Chief Technology Operations Officer) 마이클 몬토야와 이야기를 나눴습니다. Mythos 이후의 위협 환경이 어떤 모습이며 조직이 생존하기 위해 무엇을 해야 하는지에 대한 몬토야의 견해를 계속해서 확인해 보세요.

Q: 최근 Mythos에 관한 뉴스가 많이 나오고 있습니다. 보안 리더의 관점에서 볼 때, Mythos 이후의 위협 환경은 실제로 어떤 모습인가요?

Montoya: 솔직히 말해, 더 빨라졌습니다. 그게 핵심입니다. 현재 AI가 취약점 발견을 가속화하면서 취약점 공개부터 악용까지의 시간 간격을 단축하고 있습니다. 예전에는 그 간격을 몇 주 또는 몇 달 단위로 계산했습니다. 보안팀은 이러한 전제를 바탕으로 전체 운영 주기를 구축했습니다. 취약점이 공개되면 분류하고, 패치 일정을 잡은 다음, 변경 관리 절차에 따라 처리하는 식이었죠. 이제는 그런 주기로 대응할 수 없습니다.

그리고 여기서 진정한 과제가 무엇인지 분명히 말씀드리고 싶습니다. 단순히 위협이 더 많아졌다는 것이 아닙니다. 위협이 등장하는 속도와 규모가 문제입니다. 속도는 완전히 다른 차원의 문제입니다. 이제 조직에는 대응할 수 있는 시간이 몇 주나 몇 달씩 주어지지 않기 때문입니다.

그렇다면 이는 보안 리더에게 어떤 의미일까요? 패치를 우선하는 사고방식에서 보호를 우선하는 사고방식으로 전환하는 것이 중요합니다. 패치는 여전히 매우 중요하지만, 상황이 그토록 빠르게 전개될 때 유일한 방어선이 되어서는 안 됩니다. 둘째, AI의 속도에 맞춰 대응해야 합니다. 즉, 영구적인 수정 사항이 적용될 때까지 런타임 보호와 가상 패치를 활용해 노출 위험을 줄여야 합니다. 또한 애플리케이션, API, AI 워크로드가 클라우드, 데이터 센터, 엣지 전반에 분산된 환경에서는 전체 환경에 일관되게 보안을 적용할 수 있는 플랫폼 접근 방식을 채택해야 합니다.

Q: 현재 조직들이 가장 과소평가하고 있는 가장 큰 위험은 무엇이라고 보십니까?

Montoya: 주저 없이 복잡성이라고 답하겠습니다. 많은 조직이 복잡성 자체가 가장 중대한 보안 위험 중 하나가 되었다는 사실을 아직 충분히 인식하지 못하고 있다고 생각합니다.

오늘날 일반적인 기업이 실제로 운영되는 환경을 생각해 보십시오. 하이브리드 환경, 멀티클라우드, 엣지에 더해 이제는 점점 더 다양한 AI 환경까지 그 위에 겹겹이 추가되고 있습니다. 이러한 환경은 각각 도구, 정책, 워크플로가 서로 단절될 가능성을 높이고, 그로 인해 보안 공백이나 사각지대가 생길 여지를 만듭니다. 누구도 처음부터 이런 구조를 만들려고 하지는 않습니다. 하지만 시간이 지나면서 결국 그렇게 됩니다.

여기서 해야 할 일은 화려하지는 않지만 파급 효과가 큽니다. 가능한 모든 곳에서 운영 복잡성을 줄이십시오. 서로 분산된 개별 솔루션에서 벗어나 통합 플랫폼 전략으로 전환하십시오. 또한 운영 중인 모든 환경에서 일관된 가시성, 정책 적용 및 보호 체계를 구축하십시오. 앱이 어디에 있든 “이 앱은 무엇으로 보호되고 있으며, 어떤 정책이 적용되고 있는가?”라는 질문에 동일하게 답할 수 없다면, 바로 그 지점에서 시작해야 합니다.

Q: 소프트웨어 공급망에 대한 신뢰가 위협받고 있습니다. 고객을 안전하게 보호하기 위해 F5의 보안 관행을 어떻게 발전시키고 있습니까?

Montoya: 고객은 F5가 새롭게 부상하는 위협을 얼마나 신속하게 식별하고 대응할 수 있도록 지원하는지를 기준으로 F5에 대한 신뢰를 평가합니다. 이는 타당한 평가이며, 저희 역시 스스로에게 동일한 기준을 적용합니다.

냉정한 현실은 기존의 릴리스 주기로는 기계적인 속도로 이루어지는 취약점 발견을 따라가기 어렵다는 것입니다. 보안 개선은 분기 단위로 진행되는데 위협은 매일 새롭게 등장한다면, 구조적으로 뒤처질 수밖에 없습니다. 따라서 보안은 지속적으로 이루어져야 하며 플랫폼 자체에 내재되어야 합니다.

실질적으로 이는 가능한 모든 영역에서 보안 테스트, 검증 및 강화를 자동화하고, 보안 개선 사항과 업데이트가 실제로 고객에게 전달되는 속도를 높이는 것을 의미합니다.

그리고 이러한 기대를 외부로도 확대해야 합니다. 기술 파트너가 새롭게 등장하는 위협의 속도에 맞춰 제품의 보안을 강화하고 견고하게 만들도록 책임을 요구하십시오. 작업 주기가 얼마나 걸리는지, 어떤 부분이 자동화되어 있는지 물어보십시오. 이제는 충분히 타당한 질문이며, 그 답을 통해 많은 것을 알 수 있습니다.

Q: 애플리케이션 팀이 새로운 코드와 AI 기능을 매우 빠르게 출시하는 상황에서, 비즈니스 속도를 늦추지 않으면서 혁신을 어떻게 보호할 수 있을까요?

몬토야: 이 질문은 제가 자주 받는 질문입니다. AI 기반 혁신으로 애플리케이션, API, 서비스가 폭발적으로 증가하고 있습니다. 이는 억제해야 할 문제가 아니라 비즈니스 그 자체입니다. 하지만 보안 리더들이 주시해야 할 역학 관계가 있습니다. 보안이 병목 현상이 되면 개발이 중단되는 것이 아니라 보안을 우회하게 됩니다. 결국 이전보다 가시성과 통제력이 떨어지게 되는데, 이는 애초에 달성하려던 목표와 정반대의 결과입니다.

따라서 목표는 속도와 보안 중 하나를 선택하는 것이 아닙니다. 둘 중 하나를 포기할 수는 없습니다. 대신 두 가지를 모두 실현해야 합니다. 비즈니스의 속도를 늦추거나 혁신을 막으려는 CISO는 어디에도 없습니다.

필요한 균형을 달성하는 몇 가지 방법은 다음과 같습니다. 애플리케이션 제공 프로세스 자체에 보안을 통합하세요. 확장하기 어려운 수동 검토에 의존하는 대신, 가능한 모든 보호 조치를 자동화하세요. 새로운 위협이 발생하면 위험을 즉시 줄일 수 있는 통제 수단을 활용해 코드가 대응할 때까지 보호를 유지하세요. 그리고 거버넌스와 보안을 기반으로 안정적으로 유지하면서 개발자에게 자유롭게 혁신할 수 있는 실질적인 자율성을 부여하세요.

이를 제대로 구현하면 보안팀은 더 이상 안 된다고 말하는 팀이 아니라, 안전한 혁신을 가능하게 하는 팀이 됩니다.

Q: 결론적으로, 보안 리더가 이 새로운 현실에서 살아남기 위해 지금 해야 할 가장 중요한 단 한 가지는 무엇인가요?

Montoya: 회복탄력성을 갖추고 이를 중심으로 조직을 운영해야 합니다. 이제 이사회는 조직이 안전한지만 묻는 것이 아니라, 끊임없는 변화 속에서 신속하게 적응하고 대응하며 복구할 수 있는지도 묻고 있다는 점을 이해하는 것이 중요합니다. 이는 곧 회복탄력성이 이제 비즈니스의 필수 요건이 되었다는 뜻입니다.

앞서 말씀드렸듯이, 복잡성을 해소하는 것이 이 과제를 해결하는 데 큰 부분을 차지합니다. 공통 운영 모델을 중심으로 애플리케이션 제공, 보안 및 운영을 통합해야 합니다. 가시성, 일관성 및 복원력을 향상하는 플랫폼에 투자해야 합니다. 또한 지정학적 압박과 AI로 인한 압박이 계속 변화함에 따라 모든 애플리케이션, 데이터 및 보안 정책이 어디에 위치하는지 지속적으로 통제해야 합니다.

보안 리더들은 AI와 같은 속도로, 아니 그보다 더 빠르게 움직여야 합니다. 이는 방어의 모든 영역에서 AI를 활용해야 한다는 뜻입니다. 단기간에 해낼 수 있는 일은 아닙니다. 하지만 궁극적으로 이것이 AI 시대에 번영하는 조직과 그렇지 못한 조직을 가르는 기준이 될 것입니다.

자세한 내용은 F5 Application Delivery and Security Platform (ADSP) 웹페이지에서 확인하세요. 또한 9월 10일부터 시작되는 F5의 주문형 가상 포스트 미토스 보안 서밋,에도 꼭 등록하세요.