섀도우 AI: 기업 내부에 도사린 보이지 않는 보안 위험

Rachael Shah수석 제품 마케팅 매니저 | F5

인공지능은 이제 우리 삶에 확고히 자리 잡았으며, 2010년대 이전으로 되돌아갈 수는 없습니다. 생산성 향상과 혁신, 경제적 파급 효과가 가져오는 변화가 너무나도 크기 때문입니다.

하지만 이러한 놀라운 이점과 함께 AI를 도입하는 조직에는 심각한 위험도 뒤따릅니다. 그중에서도 가장 시급한 문제 중 하나는 섀도 AI입니다. 이는 IT 책임자가 알지 못하거나 승인하지 않은 상태에서 직원들이 AI 도구를 사용하는 사례가 늘어나는 현상을 말합니다. 섀도 AI는 비교적 새로운 개념으로 계속 진화하고 있지만, 보안과 규정 준수에 중대한 위협으로 빠르게 부상하고 있습니다.

섀도 AI는 직원들이 기업 내에서 승인되지 않은 소프트웨어, 클라우드 서비스 또는 시스템을 사용하는 고질적인 문제인 섀도 IT에서 빠르게 파생되고 있는 현상입니다. 섀도 IT만으로도 이미 거버넌스와 보안에 부담을 주고 있지만, 섀도 AI는 여기에 위험하고 새로운 차원의 복잡성을 더합니다.

섀도우 AI의 몇 가지 예:

• 소프트웨어 엔지니어가 개인 ChatGPT, Gemini 또는 Copilot 계정을 사용해 상용구 코드를 생성하거나, 언어를 번역하거나, 레거시 코드를 리팩터링하거나, 테스트 케이스를 작성하는 과정에서 의도치 않게 독점 코드를 공개 모델에 붙여 넣을 수 있습니다. 해당 코드는 저장되거나 기록되거나 외부에 노출될 수 있습니다. 더 심각한 문제는 AI가 생성한 결과물에 보안에 취약한 로직, 존재하지 않는 API 또는 라이선스 조건을 위반하는 코드가 포함될 수 있다는 점입니다.
• 커뮤니케이션 담당자가 기밀 전략 메모를 AI 도구에 업로드해 내용을 요약하거나 고객에게 전달할 메시지의 초안을 작성합니다. 이로 인해 해당 독점 정보는 IT 부서의 관리 범위를 벗어난 제3자 서버에 저장됩니다.
• 영업 담당자가 이메일 및 CRM 시스템 모두에 연결되는 AI를 사용해 잠재 고객 발굴 이메일을 자동 생성하는 Chrome 확장 프로그램을 설치합니다. 어떤 위험이 있을까요? 데이터 유출 가능성, 내부 정책 위반, GDPR 또는 캘리포니아 소비자 개인정보 보호법과 같은 규정 미준수 등이 있습니다.

이러한 사례는 시작에 불과합니다. 이 밖에도 수많은 섀도 AI 사례가 매일 다양한 산업에서 발생하고 있습니다. 문제의 규모가 워낙 방대해 Gartner®는 “2027년까지 직원의 75%가 IT 부서의 가시성 밖에서 기술을 도입, 수정 또는 개발할 것이며, 이는 2022년의 41%에서 증가한 수치다. 그 결과, 하향식의 고도로 중앙 집중화된 사이버 보안 운영 모델은 실패할 것이다. 대신 CISO는 사이버 보안 조직을 간소화된 중앙 집중식 기능으로 재편하여, 기업 전반에 배치된 광범위한 연합형 전문가 그룹과 융합 팀을 지원해야 한다. 이를 통해 기술 및 위험 관련 의사 결정이 이루어지고 실행되는 현장에 더 가까운 기업의 최전선까지 사이버 보안을 확장할 수 있다.”라고 전망합니다.¹

프롬프트 인젝션과 데이터 유출: 주요 우려 사항

섀도 AI로 인한 정확한 재정적 손실 규모는 아직 산정 중이지만, 잠재적 피해 가능성은 분명하며 계속 커지고 있습니다. 지금 조치를 취하지 않는 조직은 심각한 사고와 규제 리스크, 고객 신뢰 하락에 직면할 수 있습니다.

가장 우려되는 취약점 중 하나는 프롬프트 인젝션입니다. 이는 악의적인 사용자가 AI의 입력을 조작해 제한을 우회하거나 민감한 데이터를 유출하거나 의도하지 않은 작업을 실행하도록 하는 공격입니다. AI 모델은 기본적으로 입력을 신뢰하는 경향이 있어 이러한 공격에 취약합니다. 프롬프트 인젝션 공격이 성공하면 AI가 내부 데이터를 노출하거나 자동화된 프로세스를 손상시키거나 의사결정 시스템을 무력화하도록 유도할 수 있습니다.

또 다른 주요 우려 사항은 데이터 유출이며, 특히 개인 식별 정보(PII), 보호 대상 건강 정보(PHI), 은행 정보 및 금융 기록, 소스 코드 및 독점 지식 재산(IP), 자격 증명 및 액세스 키, 고객 기록 등의 유출이 문제입니다.

문제를 더욱 악화시키는 것은 규제 미준수 가능성입니다. 승인되지 않은 AI 사용은 GDPR, HIPAA, PCI DSS, 사베인스-옥슬리법과 같은 규정을 쉽게 위반할 수 있으며, 이로 인해 기업은 처벌과 평판 훼손의 위험에 노출될 수 있습니다.

일부 기업은 사용 금지로 대응하지만, 과연 효과가 있을까요?

이러한 위험에 대응하기 위해 일부 조직은 직원들이 승인되지 않은 생성형 AI 도구를 사용하는 것을 금지했습니다. 예를 들어 삼성은 민감한 내부 정보 유출에 대한 우려를 이유로 2023년에 ChatGPT 및 이와 유사한 AI 기반 챗봇의 사용을 금지한 최초의 기업 중 하나였습니다. 이후 여러 은행과 기타 기업들도 유사한 제한 조치나 경고를 내놓았습니다.

하지만 업계 전문가들은 일률적인 금지 조치에 대해 압도적으로 반대한다.

금지보다 거버넌스가 더 나은 해법인 이유

정당한 우려가 존재하지만, 업계 분석가들은 전면적인 금지보다는 예방 정책과 거버넌스 체계를 마련할 것을 권고합니다.

금지 조치는 오히려 역효과를 낳는 경우가 많습니다. 시행하기 어렵고 혁신과 사기를 저해하는 경우가 많으며, AI 사용을 더욱 음지로 몰아 탐지하고 통제하기가 한층 더 어려워질 수 있습니다.

한 IT 리더가 AI 도구 금지에 관한 Gartner Peer Community 토론에서 이렇게 말했습니다. “금지는 전혀 효과가 없습니다. 정책이 없더라도 이러한 조치는 혁신을 저해하고 직원과 외부에 우리 조직에 대한 잘못된 메시지를 전달합니다.”

그렇다면 조직은 무엇을 해야 할까요?

조직이 지금 바로 취할 수 있는 몇 가지 실질적인 거버넌스 조치는 다음과 같습니다:

1. 명확한 AI 사용 정책 수립
   승인된 도구, 데이터 관리 방식, 허용되는 사용 사례, 안전장치가 적용되는 영역을 명확히 정의하세요. 무엇이 허용되는지, 그리고 그 이유가 무엇인지 누구나 분명히 알 수 있도록 하세요.
2. 검증된 AI 도구 목록을 유지하세요
   데이터 개인정보 보호, 보안 및 규제 준수 여부를 기준으로 도구를 평가하세요. 직원들이 검증되지 않은 플랫폼 대신 이러한 도구를 사용하도록 권장하세요. 예를 들어, 로깅 및 데이터 유출 방지 기능을 갖춘 ChatGPT와 같은 도구의 기업용 버전을 사용하고, 회사 플랫폼에 통합된 사내 AI 어시스턴트를 도입하세요.
3. 직원을 교육하고 인식을 제고하세요
   직원들이 데이터 유출과 환각으로 생성된 콘텐츠부터 규정 준수 실패에 이르기까지 다양한 위험을 이해하도록 도우세요. 대부분의 오용은 의도치 않게 발생합니다.
4. 모니터링한 후 조정하세요
   무단 사용을 감지하기 위해 윤리적·법적 요건을 준수하는 모니터링 방식을 활용하는 것을 고려하세요. 처벌보다는 교육으로 대응하세요. AI 역량의 변화에 맞춰 정책을 지속적으로 발전시키세요.

곧 출시 예정: 섀도 AI 관리를 지원하는 F5 기술

기술이 확장 가능한 솔루션을 제공할 수 있을까요? 물론입니다.

F5는 오늘 AI 워크로드 보안을 위한 데이터 유출 탐지 및 방지 기능을 발표했으며, 향후 몇 달 내에 조직이 섀도 AI 위험, 특히 암호화된 채널(대부분의 AI API 및 SaaS 플랫폼에서 기본으로 사용)을 통한 AI 도구의 무단 사용과 관련된 위험을 종합적으로 완화할 수 있도록 설계된 강력한 신규 기능을 출시할 예정입니다.

향후 발표될 소식도 계속 지켜봐 주세요. 그동안 F5 AI에 관한 최신 소식은 Accelerate AI 웹페이지에서 모두 확인하실 수 있습니다.

GARTNER는 미국 및 전 세계에서 Gartner, Inc. 및/또는 그 계열사의 등록 상표 및 서비스표이며, 본 문서에서는 허가를 받아 사용되었습니다. 모든 권리는 보호됩니다.

_{¹Gartner, Maverick Research: CISO는 역할을 혁신하지 않으면 도태될 수밖에 없다, 2025년 6월 19일}

작성자 소개

Rachael Shah수석 제품 마케팅 매니저 | F5

Rachael Shah의 다른 블로그 게시물